Il team di McAfee Mobile Malware Research ha identificato un malware che sta colpendo il Messico. Si presenta come uno strumento di sicurezza per le operazioni bancarie o come un\u2019app bancaria progettata per segnalare sportelli bancomat fuori servizio. In entrambi i casi, il malware sfrutta il senso di urgenza che viene generalmente creato dagli strumenti di prevenzione delle frodi per spingere le potenziali vittime a usarli. Questo malware pu\u00f2 rubare fattori di autenticazione cruciali per accedere ai conti delle vittime negli istituti finanziari presi di mira in Messico.<\/p>\n
McAfee Mobile Security ha identificato questa minaccia come Android\/Banker.BT insieme alle sue varianti.<\/p>\n
Il malware \u00e8 distribuito da una pagina di phishing dannosa che fornisce consigli sulla sicurezza delle operazioni bancarie (copiati dal sito originale della banca) e raccomanda di scaricare le app dannose come strumento di sicurezza o come app per segnalare sportelli bancomat fuori servizio. \u00c8 molto probabile che a questa minaccia sia associata una campagna di smishing (phishing via SMS) come parte del metodo di distribuzione. \u00c8 inoltre possibile che le vittime vengano contattate direttamente tramite telefonate ingannevoli fatte dai criminali, un evento piuttosto comune in America Latina. Tuttavia, questa minaccia non \u00e8 stata ancora stata identificata su Google Play.<\/p>\n
Durante la pandemia, le banche hanno adottato nuovi metodi di interazione con i clienti. Questi rapidi cambiamenti hanno fatto s\u00ec che i clienti fossero pi\u00f9 disposti ad accettare nuove procedure e a installare nuove app come parte della “nuova normalit\u00e0” per interagire a distanza. I criminali informatici sono sempre attenti a queste evoluzioni e hanno quindi introdotto nuove truffe e attacchi di phishing che sembrano pi\u00f9 credibili di quelli del passato mettendo a rischio i clienti.<\/p>\n
Fortunatamente, McAfee Mobile Security \u00e8 in grado di rilevare questa nuova minaccia come Android\/Banker.BT. Per proteggerti da questa e altre minacce simili:<\/strong><\/p>\n Una volta che l’app dannosa \u00e8 installata e avviata, la prima attivit\u00e0 mostra un messaggio in spagnolo che spiega lo scopo fasullo dell’app:<\/p>\n – Strumento fasullo per segnalare movimenti fraudolenti e creare un senso di urgenza:<\/p>\n \u201cLa <nome della banca> ha creato uno strumento che consente di bloccare qualsiasi movimento sospetto. Tutte le operazioni indicate nell\u2019app sono ancora in sospeso. Se non riesci a bloccare i movimenti sconosciuti entro 24 ore, gli importi saranno addebitati automaticamente sul tuo conto.<\/p>\n Al termine del processo di blocco, riceverai un messaggio SMS con i dettagli delle operazioni bloccate.\u201d<\/p>\n – Nel caso dello strumento fasullo creato nel quadro della pandemia per segnalare problemi con gli sportelli bancomat o per la richiesta di una nuova carta di credito, viene proposto un testo simile che induce negli utenti un falso senso di sicurezza:<\/p>\n \u201cCome misura sanitaria nel quadro della pandemia di Covid-19 \u00e8 stata creata questa nuova opzione. Riceverai un ID via SMS per la tua segnalazione e potrai quindi richiedere la tua nuova carta in qualsiasi filiale o riceverla gratuitamente al tuo indirizzo di casa registrato. Avviso. Non richiederemo mai i tuoi dati sensibili come NIP o CVV.\u201d Ci\u00f2 fornisce credibilit\u00e0 all\u2019app poich\u00e9 sta affermando che non chieder\u00e0 dati sensibili; tuttavia, chieder\u00e0 le credenziali per accedere alla banca online.<\/p>\n Se le vittime toccano \u201cIngresar\u201d (Accedi), il trojan bancario chiede le autorizzazioni per SMS e avvia un’attivit\u00e0 per l\u2019immissione dell\u2019ID utente o del numero di conto seguito dalla password. In background, la password viene trasmessa al server del criminale senza che le credenziali fornite siano verificate come valide o reindirizzate al sito originale della banca come accade con molti altri trojan bancari.<\/p>\n Infine, la truffa prevede che venga visualizzato un elenco prefissato di transazioni fasulle in modo che l’utente possa bloccarle. Tuttavia a questo punto i truffatori sono gi\u00e0 in possesso dei dati di accesso della vittima e possono accedere ai messaggi SMS del suo dispositivo per rubare il secondo fattore di autenticazione.<\/p>\n Nel caso dello strumento fasullo per richiedere una nuova carta, l’app mostra un messaggio che alla fine indica \u201cAbbiamo creato questa misura sanitaria Covid-19 e ti invitiamo a vedere i nostri consigli antifrode per apprendere come proteggere il tuo account\u201d.<\/p>\n In background il malware contatta il server di comando e controllo che opera in hosting nello stesso dominio utilizzato per la distribuzione e invia le credenziali degli utenti e tutti i loro messaggi SMS tramite https come parametri di query (come parte dell’URL) e questo pu\u00f2 determinare la memorizzazione dei dati sensibili nei file di registro del server Web e non solo nella destinazione finale dell\u2019autore dell’attacco. In genere, questo tipo di malware non gestisce i dati rubati in modo efficiente, quindi non sorprende che queste informazioni possano trapelare o essere compromesse da altri gruppi criminali, cosa che rende questo tipo di minacce ancora pi\u00f9 rischiose per le vittime. La figura 8 illustra lo screenshot parziale di una pagina esposta che contiene la struttura per visualizzare i dati rubati.<\/p>\n Questo mobile banker \u00e8 interessante perch\u00e9 \u00e8 una truffa sviluppata da zero che non \u00e8 collegata a framework di trojan bancari conosciuti e pi\u00f9 potenti che sono commercializzati sul mercato nero tra i criminali informatici. Si tratta chiaramente di uno sviluppo locale che in futuro potrebbe diventare una minaccia pi\u00f9 seria poich\u00e9 nel codice decompilato appare una classe dei servizi di accessibilit\u00e0 non implementata, il che porta a pensare che gli autori del malware stanno cercando di emulare il comportamento dannoso di famiglie di malware pi\u00f9 mature. Questo malware non offre alcuna tecnica per evitarne l’analisi, il rilevamento o la decompilazione, segno che \u00e8 ancora in una fase iniziale di sviluppo.<\/p>\n SHA256:<\/p>\n Il team di McAfee Mobile Malware Research ha identificato un malware che sta colpendo il Messico. Si presenta come uno…<\/p>\n","protected":false},"author":674,"featured_media":146569,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[12082,11947],"tags":[],"coauthors":[16783,16307],"class_list":["post-131923","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-mcafee-labs","category-internet-security"],"acf":[],"yoast_head":"\n\n
Ti interessano i dettagli? Leggi qui un approfondimento su questo malware.<\/strong><\/h2>\n
Comportamento: Indurre la vittima a fornire le proprie credenziali<\/h3>\n
IoC<\/h2>\n
\n
Domini:<\/h2>\n
\n