In questo articolo Indice dei contenuti 2 sezioni
Si chiama Hirudo il nuovo malware Android che punta dritto ai conti correnti con una strategia piuttosto insolita. Invece di limitarsi a imitare le app bancarie, le rimpiazza direttamente con versioni modificate in cui i controlli di sicurezza vengono messi fuori gioco. I ricercatori della società di sicurezza mobile ThreatFabric hanno individuato copie malevole di otto applicazioni di banche che sfruttano un motore di hooking per aggirare le verifiche sulla firma dell’app, sui servizi di Accessibilità e su Play Integrity, sostituendo le informazioni dei certificati oppure restituendo elenchi vuoti.
Le capacità a disposizione dei criminali sono parecchie. Con Hirudo possono rubare le credenziali bancarie, controllare da remoto e in tempo reale lo smartphone infetto, raccogliere messaggi, catturare schermate e registrare audio. Il malware è stato visto spacciarsi per almeno sette banche indonesiane, ma nel mirino finiscono anche istituti finanziari in Cina, India, Messico, Marocco e Thailandia.
Come Hirudo arriva sullo smartphone e prende il posto della banca
La porta d’ingresso è quasi sempre un’applicazione dall’aria innocua. Si tratta di app per lo shopping come Shopora, per contenuti per adulti come 1V1 X oppure dedicate ai brevi drama come ZoyaTV e KoiShort. Sembrano legittime e fanno davvero quello che promettono, ma in realtà funzionano da loader per Hirudo. A un certo punto mostrano una finta notifica di “aggiornamento” che porta l’utente a concedere una serie di permessi, compresi quelli legati ai servizi di Accessibilità.
Una volta installato, il malware avvia il programma di disinstallazione della vera app della banca, scarica una copia alterata e sfrutta proprio il permesso di Accessibilità per installarla al suo posto. Secondo ThreatFabric si tratta di un passaggio delicato e piuttosto rischioso per chi sta dietro all’attacco, visto che la vittima ha due occasioni per interromperlo.
La versione contraffatta conserva quasi tutto il codice dell’originale ma carica un motore di hooking costruito sui framework open source YAHFA e Dobby. All’avvio l’app modificata presenta il certificato di firma autentico quando le viene richiesto, nasconde i servizi di Accessibilità attivi e rimuove la protezione contro gli screenshot, così lo schermo può essere osservato e registrato a distanza. In più altera i certificati di key attestation e fa passare le richieste di Play Integrity attraverso un server controllato dagli operatori. “Con il motore in esecuzione all’interno del processo stesso dell’app bancaria, le difese dell’app vengono rivolte contro di essa” spiegano i ricercatori.
Furto di PIN, limiti dell’attacco e consigli per difendersi
Queste tecniche di elusione non sono comunque infallibili. Il keybox di attestazione incluso nel malware è stato diffuso pubblicamente e Google classifica due dei suoi certificati come compromessi, quindi i controlli di revoca effettuati lato server sono in grado di smascherare le falsificazioni. Una volta attivo sul dispositivo, però, Hirudo riesce a sottrarre password bancarie, PIN di pagamento, codici di sblocco del telefono e SMS, oltre a trasmettere lo schermo in diretta agli operatori e a dare accesso a entrambe le fotocamere.
Particolarmente subdole sono le false pagine di checkout. Raccolgono il PIN di pagamento e poi mostrano un esito positivo della transazione del tutto inventato, così la vittima resta tranquilla mentre i dati prendono un’altra strada. ThreatFabric ha anche scoperto un pannello di backend non protetto con migliaia di credenziali applicative, insieme a informazioni sui dispositivi, sulla schermata di blocco e sui profili finanziari. Il numero effettivo delle persone colpite rimane però sconosciuto.
Per i ricercatori Hirudo rappresenta un’escalation deliberata nel modo in cui i trojan bancari per Android affrontano le applicazioni più blindate, con l’attenzione che si sposta dai controlli di integrità del dispositivo ai meccanismi di sicurezza integrati nelle app stesse. Alle banche viene suggerito di validare integrità e attestazione lato server, di legare le verifiche alle sessioni e alle operazioni protette e di mantenere i controlli comportamentali e sul rischio delle transazioni. Agli utenti Android si raccomanda di tenere il dispositivo sempre aggiornato, di evitare file APK provenienti da store non ufficiali e di avviare periodicamente una scansione con Play Protect.
Fonte: TecnoAndroid