In questo articolo Indice dei contenuti 3 sezioni
Chi usa lo smartphone per gestire il conto corrente ha un motivo in più per stare attento. I ricercatori di Group-IB hanno infatti scovato RemControl, un nuovo trojan bancario Android distribuito come piattaforma malware as a service. Il suo obiettivo sono le credenziali di accesso all’home banking e il metodo scelto per ottenerle è tutt’altro che banale, visto che mescola annunci pubblicitari mirati, false pagine del Play Store e perfino contenuti prodotti con l’intelligenza artificiale.
Il panorama delle minacce per il sistema operativo di Google continua ad allargarsi. Lo scorso agosto era emerso ToxicPanda 2.0, capace di unire monitoraggio delle app, phishing e abuso dei permessi di accessibilità in un unico pacchetto sempre più completo. RemControl condivide con quel malware una specifica tecnica di evasione, ma ci aggiunge un ulteriore livello di inganno.
Dagli annunci su Meta al finto Play Store
Tutto parte dalle piattaforme Meta. Gli operatori dietro la campagna sfruttano annunci mirati, ID di tracciamento Meta Pixel, controlli sull’User Agent mobile e geofencing per selezionare vittime precise e dirottarle verso copie contraffatte del Google Play Store. L’esca è il download gratuito di TVTap, app di streaming IPTV molto diffusa, ma quello che arriva sul telefono è un trojan bancario vero e proprio.
Appena aperta l’app fasulla, il malware avvia subito un servizio VPN locale che blocca ogni comunicazione di rete con i servizi Google Play. Con quella connessione interrotta Google Play Protect non riesce più a eseguire le scansioni in background e il file dannoso passa inosservato. Lo stesso trucco era comparso di recente anche in nuove varianti di ToxicPanda, operazione su larga scala che prende di mira 349 app finanziarie e di criptovalute in 16 Paesi diversi.
Messo fuori gioco l’antivirus integrato, RemControl chiede i permessi di Accessibilità. Se l’utente li concede il dispositivo è di fatto compromesso. Il software malevolo registra ogni singolo tocco, trasmette in tempo reale la registrazione dello schermo e cattura gli schemi di sblocco su telefoni Samsung, Xiaomi, Huawei, OPPO, OnePlus e Android puro. Impedisce anche la disinstallazione, chiudendo in automatico il menu delle impostazioni non appena qualcuno prova ad aprirlo.
L’errore dell’IA e l’arrivo di RedHat
Analizzando l’infrastruttura backend, che riceve nuovi comandi attraverso canali Telegram criptati, i ricercatori hanno trovato documentazione FastAPI esposta sul server proxy iniziale. Da lì sono emersi gli endpoint usati per scaricare oltre 30 overlay di phishing personalizzati, pensati per colpire conti bancari in Spagna, Italia, Francia, Polonia, Portogallo, Canada e Medio Oriente.
Non è tutto. In una pagina di phishing attiva è saltata fuori una risposta di un modello di intelligenza artificiale copiata e incollata parola per parola, senza alcuna modifica. Il codice HTML contiene inoltre frammenti in lingua russa e la campagna riconduce a un operatore noto come UNKN, collegato alla famiglia di trojan Medusa.
Nel frattempo i ricercatori di Zimperium zLabs hanno individuato un altro trojan di origine cinese, chiamato RedHat, che spinge l’integrazione dell’IA ancora più in là. I malware bancari tradizionali smettono di funzionare quando una banca aggiorna il layout della propria app, perché si basano su coordinate fisse dello schermo. RedHat aggira l’ostacolo inviando screenshot in tempo reale a un modello integrato, che legge l’interfaccia sul momento e indica al programma esattamente dove cliccare per sottrarre le password.
Le regole per difendersi
Le contromisure sono poche ma efficaci. Meglio evitare il sideloading quando un’app è disponibile sul Play Store. Qualsiasi applicazione che si spaccia per Google Play Protect o per un componente del sistema operativo e chiede di essere installata manualmente è con ogni probabilità malevola, dato che questi elementi non si installano mai a mano.
Fonte: TecnoAndroid
