In questo articolo Indice dei contenuti 2 sezioni
Si chiama Manic ed è il nuovo malware bancario per Android individuato dai ricercatori di ThreatFabric, un software malevolo che mette insieme due anime diverse: quella del trojan che punta ai conti correnti e quella dello spyware che osserva tutto quello che accade sullo schermo. Fin qui, niente che non si sia già visto in altre famiglie di minacce mobili. La differenza sta altrove, in un dettaglio tecnico che sposta parecchio l’asticella: Manic riesce a portare fuori i dati rubati anche quando il telefono infetto non ha alcuna connessione a Internet.
La distribuzione segue strade già battute, ovvero siti di phishing costruiti ad arte e applicazioni infette scaricate fuori dai canali ufficiali. Una volta installato, il malware passa al setaccio il dispositivo alla ricerca di 169 app supportate. L’elenco è lungo e comprende applicazioni bancarie, servizi di pagamento, wallet di criptovalute, piattaforme di messaggistica, strumenti per l’identità digitale, client di posta elettronica e browser.
Il tastierino falso e il controllo da remoto
Il punto di svolta arriva quando la vittima concede i permessi di accessibilità, quella funzione pensata per aiutare chi ha difficoltà a interagire con lo smartphone e che ormai è diventata il grimaldello preferito da chi sviluppa minacce per Android. Con quei permessi in tasca, Manic può intercettare PIN e password della schermata di blocco, leggere gli SMS, registrare le credenziali di accesso e catturare tutto il testo digitato attraverso il keylogging.
Sulla tecnica di sovrapposizione, però, il malware si comporta in modo un po’ diverso rispetto ai colleghi. Di solito i trojan bancari mostrano un’interfaccia fasulla che imita quella legittima dell’app presa di mira, sperando che l’utente inserisca i propri dati senza accorgersi dell’inganno. Manic no. Manic si limita a proiettare un tastierino numerico sopra quello dell’applicazione reale, e tanto basta per raccogliere password, codici OTP e seed phrase dei portafogli di criptovalute. Meno appariscente, forse più efficace.
C’è poi il capitolo dell’accesso remoto. Sfruttando sessioni WebRTC, i criminali informatici possono collegarsi al dispositivo, guardare lo schermo in tempo reale e interagire con il telefono senza che il proprietario se ne renda conto. Il trucco per non farsi scoprire è banale quanto funzionale: durante la sessione compare una schermata nera oppure un finto aggiornamento di sistema, di quelli che invitano ad aspettare senza toccare nulla.
Quando manca la rete, i dati passano dal vicino
Tutte le informazioni raccolte finiscono cifrate verso il server C2, il centro di comando e controllo gestito dagli attaccanti. E qui entra in gioco la parte davvero originale. Se la connessione a Internet non c’è, per un qualsiasi motivo, Manic non si arrende e non resta a mani vuote. Attiva un meccanismo di relay: va a cercare altri dispositivi compromessi nelle vicinanze che invece la rete ce l’hanno, e attraverso Wi-Fi Direct o Bluetooth gli passa il pacchetto di dati da inoltrare. Una specie di staffetta tra telefoni infetti.
Se nemmeno questa strada è percorribile, perché intorno non c’è nessun altro dispositivo colpito, il malware conserva tutto in locale e aspetta. Attende pazientemente che si apra una finestra, che il telefono torni online, e a quel punto completa la trasmissione. Un comportamento che rende molto più difficile contenere il danno semplicemente staccando la rete.
