In questo articolo Indice dei contenuti 2 sezioni
Si chiama StreamRat ed è l’ennesima brutta sorpresa che arriva dal mondo Android, un trojan bancario che si nasconde dentro finte app di streaming gratuito e che viene pubblicizzato, con tanto di inserzioni a pagamento, su Facebook, Instagram e TikTok. L’obiettivo finale è sempre lo stesso, cioè mettere le mani sulle credenziali dei conti bancari, ma il metodo con cui ci arriva merita attenzione perché combina ingegneria sociale spicciola e tecniche di evasione tutt’altro che banali.
La scoperta arriva dai ricercatori di ThreatFabric, che hanno ricostruito l’intera catena di infezione. Tutto parte da annunci sponsorizzati sui social, con un bacino di vittime concentrato soprattutto in Spagna. L’esca è un’app battezzata StreamTV esp, che promette accesso gratuito a film e serie TV. Chi clicca finisce su un sito esterno dal quale è possibile scaricare il pacchetto di installazione.
Come funziona l’inganno del finto servizio di streaming
Il file scaricato è un APK, quindi non passa dal Play Store. Il sito, però, non lascia nulla al caso e accompagna la vittima passo dopo passo, spiegando come abilitare l’installazione da fonti sconosciute, il cosiddetto sideloading, e come concedere l’accesso ai servizi di accessibilità. Sono proprio quei permessi la chiave di tutto, perché consentono a un’applicazione di leggere ciò che appare sullo schermo e di simulare tocchi e digitazioni.
A procedura completata compare davvero l’interfaccia di StreamTV, il che aiuta a non destare sospetti. In realtà quell’app è solo un dropper, cioè un contenitore il cui unico compito è scaricare il carico dannoso vero e proprio. Prima di farlo, però, chiede il permesso di attivare una connessione VPN. Non serve a nascondere la navigazione dell’utente, tutt’altro: quella VPN viene usata in modo temporaneo per deviare il traffico e impedire la scansione cloud di Google Play Protect, oltre che per rendere più difficile l’analisi del codice da parte di chi studia la minaccia.
Una volta avviato, StreamRat passa in rassegna il dispositivo alla ricerca delle app bancarie installate. L’elenco viene spedito al server di comando e controllo, il C2, che risponde inviando le finte schermate di login. Sono i classici overlay, pagine sovrapposte a quelle legittime che riproducono fedelmente l’aspetto dell’app della banca. L’utente inserisce dati e password convinto di essere nel posto giusto, mentre le credenziali finiscono direttamente nelle mani dei criminali.
Accesso remoto, schermo nero e falsi aggiornamenti
La parte più insidiosa riguarda il controllo a distanza. Il malware supporta lo streaming dello schermo e la cattura di screenshot tramite VNC e HVNC, le tecnologie che permettono di vedere e manovrare un dispositivo da remoto. Durante queste sessioni la vittima non nota assolutamente nulla, perché sul display compare una schermata nera oppure il messaggio di un aggiornamento software in corso. Dietro quella cortina, chi attacca può muoversi liberamente dentro lo smartphone.
I ricercatori parlano di una minaccia piuttosto sofisticata, distribuita con il modello Malware as a Service, quello in cui gli sviluppatori affittano il software ad altri gruppi criminali dietro pagamento. È una formula che allarga il raggio d’azione, perché chi acquista il servizio non ha bisogno di competenze tecniche particolari per lanciare una campagna. Il punto debole della catena, come spesso accade, resta l’installazione manuale di applicazioni prese fuori dagli store ufficiali. Un annuncio pubblicitario ben confezionato su un social network dà l’impressione di legittimità, ma non offre alcuna garanzia sul contenuto del file. E la richiesta di attivare i servizi di accessibilità o una VPN per guardare film gratis dovrebbe suonare come un campanello d’allarme immediato, perché nessun servizio di streaming legittimo ha bisogno di quei permessi per funzionare.
