In questo articolo Indice dei contenuti 2 sezioni
Si chiama RemControl ed è un nuovo malware Android che si nasconde dietro una falsa app TVTap, un nome piuttosto familiare a chi cerca canali in streaming senza pagare. A individuarlo sono stati i ricercatori di Group IB, che lo hanno classificato come trojan bancario. L’obiettivo dei cybercriminali, con ogni probabilità di origine russa, è molto concreto e poco rassicurante perché punta dritto a svuotare i conti correnti delle vittime. Tra i paesi più colpiti compare anche l’Italia, e non per caso.
Il meccanismo dietro questa minaccia non è quello del classico hacker solitario. Chi ha sviluppato il software lo mette a disposizione di altri criminali informatici, che poi si occupano di sferrare gli attacchi veri e propri. È un modello che ormai si vede sempre più spesso e che abbassa parecchio la soglia d’ingresso per chi vuole truffare gli utenti di smartphone Android.
Un malware in abbonamento che viaggia sulla pubblicità
RemControl è infatti un MaaS, sigla che sta per Malware as a Service. In pratica gli autori offrono il codice malevolo in abbonamento, un po’ come succede con qualsiasi servizio digitale legittimo, solo che qui il prodotto serve a rubare soldi. La piattaforma è attiva da maggio, mentre le prime tracce concrete delle infezioni sono emerse a luglio.
Per raggiungere le vittime viene sfruttato il malvertising, cioè l’uso di inserzioni pubblicitarie come esca. Gli utenti cliccano sull’annuncio e si ritrovano su una pagina costruita per somigliare al Google Play Store, dove li attende la versione contraffatta di TVTap. L’inganno funziona proprio perché l’applicazione originale è molto popolare, visto che consente di accedere gratis a diversi canali tramite IPTV. I ricercatori hanno anche mostrato la versione italiana della falsa app, a conferma che il nostro paese è uno dei bersagli scelti in Europa da chi gestisce la campagna.
Dal finto aggiornamento al controllo totale del dispositivo
Una volta aperta, l’applicazione mostra una schermata di aggiornamento che sembra del tutto innocua. Basta premere il pulsante “Start install” per avviare una VPN che ha un compito preciso, ossia bloccare il traffico diretto verso Google Play Protect. In questo modo il sistema di difesa integrato in Android non riesce a rilevare la presenza del malware e il terreno resta libero.
Il passo successivo è la richiesta di accesso ai servizi di accessibilità. Sembra una formalità, ma concedere questo permesso significa di fatto consegnare il controllo completo del telefono. A quel punto RemControl va a caccia delle app bancarie installate e, quando la vittima ne apre una, sovrappone una schermata fasulla chiamata overlay. Da lì i truffatori possono intercettare credenziali, PIN, codici, numeri delle carte e relative date di scadenza.
Le funzioni del trojan bancario però non finiscono qui. Chi controlla l’infezione può vedere in tempo reale tutto quello che compare sul display, catturare screenshot e registrare ogni input digitato grazie al keylogging. Il malware è in grado persino di bloccare i tentativi di rimozione, per esempio impedendo il ripristino del dispositivo tramite reset. Per difendersi da RemControl gli esperti indicano due regole di base. Il consiglio è non scaricare mai file APK da fonti poco affidabili e non approvare in nessun caso le richieste di accesso ai servizi di accessibilità.
Fonte: TecnoAndroid
