Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 23 Luglio 2024 16:33
Il team di Tinexta Cyber ha identificato una nuova variante di Copybara, che a partire dalla fine del 2023 ha iniziato a colpire utenti italiani utilizzando TTPs (Tactics, Techniques and Procedures) innovative per diffondere la minaccia. I ricercatori hanno tracciato l’evoluzione di questa minaccia, evidenziando come sia diventata particolarmente rilevante nel mondo Android in pochi anni.
Copybara è una variante di Brata, una famiglia di malware scoperta nel 2019 da Kaspersky. Brata si diffondeva tramite siti compromessi e sfruttava la vulnerabilità CVE-2019-3568 su WhatsApp per colpire utenti in Sud America. Una caratteristica distintiva di Brata è l’utilizzo del framework B4X/B4A, una versione moderna di Visual Basic che supporta molte piattaforme e può compilare applicazioni in modo nativo. Questa caratteristica è stata mantenuta in tutte le varianti.
Nella seconda metà del 2021 sono state scoperte due nuove varianti, chiamate AmexTroll e Copybara, che presentavano caratteristiche comuni con Brata, ma anche differenze in termini di codice, attori e TTPs. Nel 2022 è stata scoperta un’altra variante, denominata IRATA, che infettava utenti iraniani. La ricerca condotta dal team di Tinexta Cyber sulla nuova variante di Copybara scoperta nel 2024 ha evidenziato l’uso del protocollo MQTT per la comunicazione con il C2.
Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure banalmente un curioso di qualsiasi età, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
“Il protocollo MQTT (Message Queueing Telemetry Transport), utilizzato prevalentemente per gli oggetti IoT (Internet of Things), si basa su un modello publish-subscribe, con una netta distinzione tra chi invia e chi riceve”, spiega Luigi Martire, Technical Leader – CERT di Tinexta Cyber. “Inoltre – continua l’esperto – i criminali utilizzano il phishing kit Mr.Robot per raccogliere credenziali e numeri di telefono tramite social engineering, nello specifico smishing/vishing. Si presentano come personale della banca per manipolare la vittima e convincerla a scaricare ed eseguire Copybara”.
Una volta eseguito, il malware richiede di essere abilitato come “servizio di accessibilità”. Le applicazioni abilitate a questo servizio possono essere eseguite in background e accedere a determinati eventi, come transizioni nell’interfaccia o clic su pulsanti. Sebbene legittimamente utilizzate per aiutare persone con disabilità, queste funzionalità vengono abusate per sviluppare malware per Android e raccogliere informazioni sulle vittime.
In questa campagna, sono stati osservati due differenti metodi di operare. Il primo è tramite phishing, con cui gli attori raccolgono informazioni sulla vittima, chiamano fingendosi personale della banca e manipolano la vittima a installare l’applicazione.
Il secondo metodo è meno diretto: la vittima riceve un messaggio che sembra legittimo, riguardo a un possibile problema di sicurezza, e viene invitata a contattare il numero riportato nel messaggio in caso di incongruenze.
Acquisendo informazioni su questo numero tramite vari siti che consentono di segnalarli, le statistiche riportano 60 ricerche nel mese di giugno e una chiamata confermata da una vittima.
“Il nostro recente studio sul malware Copybara ha rivelato un’evoluzione sofisticata nell’utilizzo di protocolli di comunicazione avanzati come il MQTT, segnalando una significativa mutazione nelle TTP (tattiche, tecniche e procedure) dei cyber criminali”, commenta Fabrizio Vacca, MSS Operations Director – Tinexta Cyber.
“Questo progresso mette in evidenza l’importanza di adattare continuamente le nostre strategie di difesa per fronteggiare minacce sempre più complesse e mirate. La scoperta è stata resa possibile grazie alla tecnologia avanzata e all’expertise di Tinexta Cyber. In particolare, l’applicativo SOC NDR “Defensyo”, progettato specificamente per le PMI, è stato fondamentale nell’intercettare queste minacce. Il SOC di Tinexta Cyber, supportato dall’appliance proprietaria, ha dimostrato una notevole efficacia nel rilevamento precoce del malware. Questo approccio, conforme agli standard NIS2, garantisce una protezione robusta e all’avanguardia per le imprese”, conclude Vacca.
RedazioneLa notizia è stata anticipata da politico.eu: a partire da maggio 2025, la Commissione von der Leyen revisionerà il GDPR introducendo semplificazioni. Certo, non sarebbe male pubblicare prim...
Oggi i bambini sono un po’ più al sicuro grazie ad una operazione di polizia coordinata da Europol che ha portato alla chiusura di Kidflix. Si tratta di una delle più grandi piattafor...
Uno degli autori di Flipper Zero, Pavel Zhovner, ha condiviso i dettagli su come stanno procedendo i lavori su una nuova versione del multi-strumento per hacker: Flipper One. Lo sviluppatore ha pubbli...
Il ransomware HellCat è apparso nella seconda metà del 2024 e ha attirato l’attenzione degli analisti grazie all’umorismo delle sue dichiarazioni pubbliche. Ricordiamo l’...
Il 28 marzo 2025, un utente del noto forum di cybersecurity BreachForums, con lo pseudonimo ThinkingOne, ha rivelato quello che potrebbe essere il più grande data breach mai registrato nel mondo ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
