Il trojan bancario che svuotava i conti nell’App Store ufficiale di Android

Ricercatori specializzati in sicurezza hanno identificato una tecnica subdola ma sorprendentemente semplice che ha permesso a un malware Android di non essere rilevato.

Analizzando l’App DEFENSOR ID, disponibile nell’App Store ufficiale di Android, ricercatori di ESET (azienda specializzata in software di sicurezza) hanno scoperto che l’App era in grado di utilizzare in modo improprio i servizi di accessibilità senza richiedere autorizzazioni sospette o generare danni visibili.

“I servizi di accessibilità sono da tempo noti per essere il tallone d’Achille del sistema operativo Android e le soluzioni di cybersecurity sono volte al rilevamento di un eventuale uso improprio tramite l’uso di rilevatori di comportamenti sospetti” speiga Lukáš Štefanko di ESET Research, che ha condotto l’analisi su DEFENSOR ID.

Di fronte a un malware che non mostrava funzionalità aggiuntive né richieste di autorizzazioni sospette nello sfruttare i servizi di accessibilità, nessun sistema di rilevamento ha evidenziato alcun alert. Di conseguenza l’App è rimasta nel Google Play Store per mesi senza che nessuno dei fornitori di sicurezza inseriti nel VirusTotal Program se ne accorgesse.

I ricercatori riferiscono che questa è stata per loro una lezione. “Sulla base di ciò che abbiamo imparato da ID DEFENSOR abbiamo aggiornato le nostre tecnologie di rilevamento per identificare anche malware che mantengono un profilo molto basso”, ha affermato Štefanko.

Oltre a essere poco rilevabile, DEFENSOR ID è in grado di infliggere gravi danni alle vittime. Appartiene alla categoria dei trojan bancari ed è eccezionalmente insidioso: una volta installato, basta una sola azione da parte dell’utente per liberare pienamente la sua potenza.
“Una volta che l’utente attiva i servizi di accessibilità, DEFENSOR ID è in grado di svuotare il conto corrente della vittima o il portafoglio di criptovaluta, hackerare l’account di posta elettronica o dei social media” spiega ancora Štefanko.

In seguito alla segnalazione di ESET, Google ha rimosso ID DEFENSOR dall’App Store ufficiale di Android. “Abbiamo pubblicato i risultati della nostra indagine su questo malware per aiutare gli sviluppatori antivirus a far fronte ad attacchi malware a basso impatto. Da oggi gli hacker che hanno sviluppato questo malware dovranno confrontarsi con protezioni più difficili da bypassare su Google Play e sui dispositivi degli utenti”, ha concluso Štefanko.

Tutti gli articoli di macitynet dedicati alla sicurezza sono disponibili da questa pagina.