Blog

I ricercatori di ESET mettono in guardia dalla minaccia sottovalutata delle false app bancarie per dispositivi Android, che si presentano come applicazioni finanziarie legittime con l’obiettivo di rubare credenziali o denaro dai conti bancari delle vittime. Anche se tecnicamente lontane dalle modalità più avanzate di frode, le false app bancarie presentano vantaggi strategici che le rendono comparabili a tipi di malware molto più sofisticati come i trojan bancari. L’analisi dei ricercatori di ESET relativa ai due tipi di frode, entrambi presenti nello store ufficiale di Google Play, ha dimostrato che le app bancarie fake presentano per i cybercriminali alcuni vantaggi che i temuti trojan bancari non hanno.Il principale punto di forza di queste app fake è la loro pressochè totale somiglianza alle applicazioni bancarie legittime. Se gli utenti cadono nel tranello e installano l‘app fake sul proprio smartphone, c’è un’alta probabilità che considerino legittima la schermata di accesso visualizzata e inviino le proprie credenziali. E, contrariamente ai trojan bancari, non vengono richiesti permessi aggiuntivi che possano sollevare il sospetto degli utenti dopo l’installazione. Oltre a questo, i trojan bancari sofisticati sono maggiormente soggetti al rilevamento dei software antivirus, a causa delle loro tecniche avanzate che fungono da trigger per varie misure di sicurezza. Target delle false app bancarieA differenza dei trojan bancari, le false app bancarie si focalizzano in genere su un target di clienti di un solo istituto finanziario o servizio – quello che impersonano. Un’eccezione a questa regola è stata un’app falsa che sosteneva di essere uno strumento bancario universale e che aveva come target i clienti di 19 banche polacche. Alcuni autori di malware approfittano dell’assenza di un’app mobile ufficiale di una certa banca o servizio, mentre altri tentano di ingannare gli utenti impersonando app ufficiali esistenti. Occasionalmente, le false app fingono di offrire funzionalità aggiuntive alle app legittime esistenti, come la promozione di premi bancari, regali o offerte per aumentare i limiti delle carte di credito.Come proteggersi dalla minaccia degli Android banking malware:Per stare al sicuro dai malware bancari che imperversano sui dispositivi Android, gli esperti di ESET consigliano agli utenti di:• Tenere aggiornato il proprio dispositivo e utilizzare una soluzione di sicurezza mobile affidabile.• Evitare gli store non ufficiali, se possibile; tenere sempre disabilitata sul proprio dispositivo l‘opzione “installazione di app da fonti sconosciute“.• Prima di installare un’app da Google Play, controllare sempre le valutazioni degli altri utenti, il contenuto delle recensioni, il numero di installazioni e le autorizzazioni richieste; prestare attenzione al comportamento dell’app anche dopo i primi utilizzi.• Scaricare sempre e solo applicazioni bancarie e altre applicazioni finanziarie collegate al sito Web ufficiale della banca o del servizio finanziario.

Per ulteriori informazioni sull’argomento è possibile scaricare il white paper “Android banking malware: trojan sofisticati e false app bancarie” di Lukáš Štefanko al seguente link: https://www.welivesecurity.com/wp-content/uploads/2019/02/ESET_Android_Banking_Malware.pdf

Mentre i ricercatori di ESET completavano l’analisi su una recente ondata di spam malevolo in Russia, hanno notato un’altra attività non correlata, basata su JavaScript, che spiccava tra i dati della telemetria ESET. Da una valutazione successiva sembrerebbe che la campagna malspam “Love You” da metà gennaio 2019 sia stata modificata per colpire in particolare il Giappone.

Sulla base dei dati ESET, questa ultima attività di “Love you” è stata lanciata il 28 gennaio 2019, registrando immediatamente un’impennata delle segnalazioni rispetto a quella originale, di quasi il doppio. Come successo a metà gennaio, le email di spam veicolano un cocktail di codici pericolosi, presentando però anche alcune interessanti novità: durante i test effettuati dai ricercatori di ESET sono emersi tentativi di scaricare un cryptominer, uno strumento per modificare le impostazioni di sistema, un downloader dannoso, il worm Phorpiex e il famigerato ransomware GandCrab versione 5.1.

A partire dal 29 gennaio 2019, la maggior parte delle rilevazioni proviene dal Giappone (95%), con decine di migliaia di email pericolose rilevate ogni ora. Lo stesso giorno, JS/Danger.ScriptAttachment – il nome con cui ESET identifica il JavaScript pericoloso distribuito tramite gli allegati di questo attacco spam – è stata la quarta minaccia più rilevata a livello mondiale e la numero uno in Giappone.

In questa ultima campagna, i criminali hanno modificato il contenuto delle email malevole, passando dal tema romantico della campagna “Love You” di metà gennaio a temi dedicati ai cittadini nipponici. Il tratto rimasto comune alle due attività è l’uso massiccio di emoticon sia nell’oggetto delle email sia nel loro contenuto.

Gli archivi contengono un file JavaScript con lo stesso formato del nome dello zip, ma che termina con “.js”. Una volta estratto e avviato, il file JavaScript scarica la prima payload dal server C & C degli hacker, un file EXE rilevato dai prodotti ESET come Win32/TrojanDownloader.Agent.EJN. Gli URL che ospitano questo codice hanno percorsi che terminano con “bl * wj * b.exe” e “krabler.exe” e vengono automaticamente salvati in “C: \ Users \ [nome utente] \ AppData \ Local \ Temp [Random] .exe”

Come proteggersi

Per evitare di cadere vittima di spam pericoloso, verificare sempre l’autenticità delle email prima di aprire eventuali allegati o fare clic sui collegamenti presenti. Se necessario, verificare contattando direttamente l’azienda mittente via posta elettronica utilizzando gli indirizzi presenti sul sito Web ufficiale.

Per gli utenti di Gmail potrebbe essere utile sapere che Google ha bloccato gli allegati JavaScript sia nelle email ricevute che in quelle inviate già da due anni.

Gli utenti di altri servizi di posta elettronica, inclusi i server di posta aziendali, devono fare affidamento sulla consapevolezza degli utenti, a meno che non utilizzino alcune soluzioni di sicurezza in grado di rilevare e bloccare i file JavaScript dannosi.

Diversi moduli nei prodotti di sicurezza ESET rilevano e bloccano in modo indipendente questi file JavaScript dannosi e/o gli oggetti che successivamente vengono scaricati.