Il trojan bancario Android BlankBot può raccogliere i tuoi dati personali

I ricercatori di sicurezza informatica hanno scoperto una nuova minaccia sotto forma di un trojan bancario Android chiamato BlankBot. Questo software dannoso prende di mira gli utenti turchi con l'obiettivo di rubare informazioni finanziarie attraverso una varietà di metodi sofisticati.

Funzionalità di BlankBot

BlankBot è dotato di una serie di funzionalità dannose. Secondo l'analisi di Intel 471 pubblicata la scorsa settimana, questi includono:

• Iniezioni di clienti: sovrapposizioni ingannevoli che inducono gli utenti a inserire informazioni sensibili.
• Keylogging: acquisizione di tutto ciò che viene digitato sul dispositivo.
• Registrazione dello schermo: monitoraggio e registrazione delle attività dell'utente.
• Comunicazione del server di controllo: utilizzo di una connessione WebSocket per comunicare con un server di controllo remoto.

Scoperto il 24 luglio 2024, BlankBot è ancora in fase di sviluppo attivo. Il malware sfrutta le autorizzazioni dei servizi di accessibilità di Android per ottenere il pieno controllo sui dispositivi infetti. Alcuni dei file APK identificati come contenenti BlankBot includono:

• versione-app.apk (com.abcdefg.w568b)
• app-release.apk (com.abcdef.w568b)
• versione-app-firmata (14).apk (com.whatsapp.chma14)
• app.apk (com.whatsapp.chma14p)
• app.apk (com.whatsapp.w568bp)
• showcuu.apk (com.whatsapp.w568b)

Come funziona BlankBot

Similmente al trojan Android Mandrake, BlankBot utilizza un programma di installazione di pacchetti basato su sessioni per aggirare le misure di sicurezza di Android 13 che impediscono alle app trasferite lateralmente di richiedere direttamente autorizzazioni pericolose. Il malware spinge le vittime a consentire installazioni da fonti di terze parti, recupera il file APK archiviato nella directory delle risorse dell'app e procede con l'installazione senza crittografia.

Una volta installato, BlankBot esegue varie azioni dannose, tra cui:

• Registrazione dello schermo e keylogging: per acquisire informazioni sensibili.
• Iniezione di overlay: basato su comandi specifici provenienti da un server remoto per rubare credenziali bancarie e dati di pagamento.
• Intercettazione di messaggi SMS: per acquisire codici di autenticazione e altre informazioni critiche.
• Disinstallazione di applicazioni: rimozione di app di sicurezza e altro software.
• Raccolta dati: raccolta di elenchi di contatti, app installate e altri dati personali.
• Impedire l'accesso: utilizzo dell'API dei servizi di accessibilità per bloccare l'accesso alle impostazioni del dispositivo e alle app antivirus.

Misure di risposta e protezione di Google

Google ha dichiarato che nessuna app contenente BlankBot è stata trovata sul Google Play Store. Gli utenti Android sono automaticamente protetti dalle versioni conosciute di questo malware da Google Play Protect, che è abilitato per impostazione predefinita sui dispositivi con Google Play Services. Questa protezione avvisa gli utenti e blocca le app contenenti malware, anche da fonti esterne a Play.

In risposta a minacce più ampie, comprese quelle poste dalle tecniche di frode SMS Blaster che aggirano le protezioni della rete dell'operatore, Google ha introdotto diverse misure di mitigazione. Questi includono l'opzione per disabilitare il 2G a livello di modem e disattivare le cifre nulle, che sono essenziali per il funzionamento delle false stazioni base utilizzate in tali attacchi. Inoltre, Google ha rafforzato la sicurezza cellulare avvisando gli utenti delle connessioni di rete non crittografate e dell'uso di simulatori di siti cellulari per lo snooping o le frodi tramite SMS.

La scoperta di BlankBot evidenzia la continua evoluzione del malware Android e la necessità di pratiche di sicurezza vigili. Poiché questo trojan continua a svilupparsi, è fondamentale che gli utenti rimangano informati e traggano vantaggio dalle funzionalità di sicurezza integrate come Google Play Protect. Rimanendo cauti e consapevoli, gli utenti possono contribuire a proteggere i propri dispositivi e le informazioni personali dalle minacce emergenti.