Ecco le app del Play Store che rubavano credenziali bancarie

Un gruppo di ricercatori ha scoperto un gruppo di app, scaricate dal Play Store circa 300.000 volte, che in seguito si sono rivelate dei trojan bancari. Le suddette applicazioni, apparentemente innocue, in realtà rubavano credenziali bancarie agli utenti e registravano le sequenze di tasti. Scopriamo tutti i dettagli.

Play Store: queste app sono state scaricate 300.000 volte ma erano trojan bancari

Le app – che si presentano come scanner QR, scanner PDF e portafogli di criptovalute – appartenevano a quattro famiglie separate di malware Android distribuite nel corso di quattro mesi. I malintenzionati hanno usato diversi trucchi per aggirare le restrizioni che Google ha escogitato nel tentativo di tenere a freno l’incessante distribuzione di app fraudolente nel suo mercato ufficiale.

“Ciò che rende queste campagne di distribuzione di Google Play molto difficili da rilevare da una prospettiva di automazione (sandbox) e di apprendimento automatico è che le app dropper hanno tutte un’impronta maligna molto piccola”, hanno scritto in un post i ricercatori della società di sicurezza mobile ThreatFabric. “Questa piccola impronta è una conseguenza (diretta) delle restrizioni di autorizzazione applicate da Google Play”.

Ecco cosa significa. Le campagne hanno inizialmente consegnato un’app innocua. Dopo che l’app è stata installata, gli utenti hanno ricevuto messaggi che li spingevano a scaricare aggiornamenti con funzioni aggiuntive. Le app spesso richiedevano aggiornamenti da scaricare da fonti di terze parti ma a quel punto, molti utenti si fidavano senza problemi. La maggior parte delle app inizialmente aveva zero rilevamenti da parte dei malware checker disponibili su VirusTotal.

Oltretutto, in molti casi, gli operatori di malware hanno installato manualmente aggiornamenti dannosi solo dopo aver controllato la posizione geografica del telefono infetto.

Il malware più pericoloso

La famiglia di malware responsabile del maggior numero di infezioni è nota come Anatsa. Questo “trojan bancario Android piuttosto avanzato” offre una varietà di capacità, tra cui accesso remoto e sistemi di trasferimento automatico, che svuotano automaticamente i conti delle vittime e inviano il contenuto a conti appartenenti agli operatori del malware.

I ricercatori hanno scritto:

Il processo di infezione con Anatsa si presenta così: all’inizio dell’installazione da Google Play, l’utente è costretto ad aggiornare l’app per continuare ad usarla. In questo momento, il carico utile di Anatsa viene scaricato dal server C2 e installato sul dispositivo dell’ignara vittima.

Gli attori dietro di esso si sono preoccupati di far sembrare le loro app legittime e utili. Ci sono un gran numero di recensioni positive per le app. Il numero di installazioni e la presenza di recensioni possono convincere gli utenti Android a installare l’app. Inoltre, queste app possiedono effettivamente la funzionalità dichiarata; dopo l’installazione, funzionano normalmente e convincono ulteriormente la vittima della loro legittimità.

Nonostante il numero schiacciante di installazioni, non tutti i dispositivi che hanno installato questi dropper riceveranno Anatsa, poiché i malintenzionati si sono impegnati solo per colpire le regioni di loro interesse.

Per concludere, i ricercatori hanno trovato altre tre famiglie di malware: Alien, Hydra ed Ermac. Uno dei dropper utilizzati per scaricare e installare payload dannosi era noto come Gymdrop. Utilizzava regole di filtro basate sul modello del dispositivo infetto per prevenire il targeting dei dispositivi di ricerca.

Le app colpevoli

LEGGI ANCHE: Bitdefender scopre un malware con firma digitale di Microsoft

Offerta

Kaspersky Plus Internet Security 2024 | 1 dispositivo | 1...

• Difende da virus, cryptolocker e altri ransomware
• Protegge la tua privacy
• Protegge i tuoi acquisti online

54,99 EUR −45% 29,99 EUR

Acquista su Amazon