In questo articolo Indice dei contenuti 2 sezioni
Si chiama RemControl ed è un nuovo trojan bancario per Android che sta colpendo i clienti di oltre 30 istituti finanziari sparsi tra Europa, Canada e alcuni paesi del Golfo, con l’Italia tra i bersagli principali. A individuarlo sono stati i ricercatori di Group-IB, che hanno analizzato un malware capace di disattivare Google Play Protect e di prendere il controllo dello smartphone senza che il proprietario si accorga di nulla. Dietro tutto questo c’è anche un uso piuttosto disinvolto dell’intelligenza artificiale, sfruttata in un modo che ha sorpreso gli stessi esperti.
L’elenco dei paesi coinvolti è lungo. Oltre all’Italia ci sono Francia, Spagna, Polonia, Portogallo e Canada, più diverse nazioni del Golfo. Secondo Group-IB sono proprio Italia e Francia i due obiettivi principali delle prime campagne e per il mercato francese esistono addirittura due varianti distinte del codice, pensate esclusivamente per quel territorio. Come succede spesso in questo ambiente, RemControl viene offerto in abbonamento a pirati alle prime armi secondo il modello Malware as a Service, che permette anche a chi ha poche competenze di lanciare attacchi sofisticati.
Una finta app IPTV come esca
Tutto parte da una pagina fasulla che imita TVTap, un’applicazione IPTV molto conosciuta che però non si trova sul Google Play Store. Per attirare le vittime i criminali diffondono queste pagine attraverso pubblicità fraudolente su Facebook e Instagram, calibrate per raggiungere soltanto chi sta navigando da smartphone. Un dettaglio non da poco, visto che l’obiettivo è far scaricare un’app per Android e non certo colpire chi usa un computer.
Una volta installata l’applicazione il virus si muove senza farsi notare. Il primo passo è neutralizzare i controlli di Google Play Protect e per farlo avvia una finta VPN che taglia di netto la connessione del servizio antivirus di Google. Con la protezione ormai fuori gioco il malware passa ai servizi di accessibilità del sistema operativo. Si tratta di impostazioni nate per semplificare la vita alle persone ipovedenti ma che da tempo rappresentano una porta d’accesso ricorrente per gli attacchi. Anche virus come Snowblind, Medusa o Klopatra le sfruttano regolarmente per impadronirsi del telefono.
Proprio grazie a questa funzione deviata dal suo scopo originale RemControl riesce a sovrapporre una schermata falsa all’app bancaria autentica e a raccogliere codici PIN, password e dati della carta di credito. Nel frattempo spia lo schermo in tempo reale e registra ogni tasto premuto sulla tastiera virtuale. Sa perfino ricostruire la sequenza di sblocco sulla maggior parte dei grandi marchi, da Samsung a Xiaomi passando per Huawei, OPPO e OnePlus. E come se non bastasse impedisce la propria disinstallazione.
L’intelligenza artificiale presa in giro dai pirati
È a questo punto che l’indagine prende una piega inattesa. Spulciando la documentazione tecnica del server usato dai criminali, i ricercatori hanno notato che il furto dei dati bancari veniva descritto come un banale “invio di risposte a un quiz”. Le funzioni di controllo remoto erano invece presentate come uno strumento di “controllo parentale”. In fondo a una pagina di phishing è poi saltata fuori una risposta completa di un assistente basato su intelligenza artificiale, con tanto di proposte di ulteriore aiuto. La prova che una parte del codice è stata scritta da un sistema AI, ingannato sulla reale finalità del progetto. Chiedere apertamente di programmare un software malevolo avrebbe infatti fatto scattare le restrizioni di sicurezza.
“Alla fine del file HTML è stata aggiunta per errore una risposta completa di un assistente AI. Il testo include note di implementazione, un riepilogo delle modifiche apportate e una proposta finale di ulteriore aiuto” si legge nel rapporto. Le regole di prudenza restano quelle di sempre. Meglio non installare mai applicazioni al di fuori del Play Store e diffidare di qualsiasi app che chieda l’accesso ai servizi di accessibilità senza un motivo valido. Soprattutto non vanno mai inseriti PIN o credenziali bancarie in schermate che compaiono all’improvviso. Nel dubbio conviene contattare la propria banca attraverso un canale ufficiale e possibilmente da un altro dispositivo.
Quanto agli autori, Group-IB ha individuato indizi che puntano verso la Russia. Il criminale dietro la campagna, noto con lo pseudonimo “UNKK”, potrebbe essere collegato alla botnet Medusa, un altro trojan bancario ben conosciuto. Gli esperti hanno infatti riscontrato somiglianze sia nei nomi di dominio sia nei metodi di diffusione.
Fonte: TecnoAndroid
