Una nuova MaaS fa capolino. E’ Brokewell: Il malware che colpisce con falsi aggiornamenti di Chrome

Redazione RHC : 28 Aprile 2024 17:06

I ricercatori hanno scoperto un nuovo trojan bancario Brokewell. Il malware si maschera da falsi aggiornamenti per Chrome ed è in grado di intercettare qualsiasi evento avvenga sul dispositivo, dai clic e le informazioni visualizzate sullo schermo al testo inserito e alle applicazioni avviate dall’utente.

ThreatFabric si è imbattuto in Brokewell dopo aver scoperto una falsa pagina di aggiornamento di Chrome che conteneva il payload del malware.

Dopo aver studiato le campagne precedenti, i ricercatori hanno concluso che Brokewell si era precedentemente mascherato da servizi “acquista ora, paga dopo”, nonché dall’applicazione di autenticazione digitale austriaca ID Austria.

CORSO NIS2 : Network and Information system 2
La direttiva NIS2 rappresenta una delle novità più importanti per la sicurezza informatica in Europa, imponendo nuovi obblighi alle aziende e alle infrastrutture critiche per migliorare la resilienza contro le cyber minacce. Con scadenze stringenti e penalità elevate per chi non si adegua, comprendere i requisiti della NIS2 è essenziale per garantire la compliance e proteggere la tua organizzazione.

Accedi All'Anteprima del Corso condotto dall'Avv. Andrea Capelli sulla nostra Academy e segui l'anteprima gratuita.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765 

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Le principali funzionalità di Brokewell, che è ancora in fase di sviluppo attivo, sono incentrate sul furto di dati e sulla fornitura agli aggressori del controllo remoto di un dispositivo infetto. Pertanto, Brokewell dispone di tutte le funzionalità standard dei trojan bancari e fornisce anche accesso remoto agli aggressori.

E’ quindi in grado di

• utilizzare overlay, ovvero imitare pagine di accesso per applicazioni target (al fine di rubare credenziali);
• utilizzare il proprio WebView per intercettare e recuperare i cookie dopo che un utente accede a un sito legittimo;
• Intercettare qualsiasi azione della vittima, inclusi clic, scorrimento e digitazione, al fine di rubare dati sensibili visualizzati o immessi sul dispositivo;
• raccogliere informazioni sull’hardware e sul software del dispositivo;
• recuperare i registri delle chiamate;
• determinare la posizione fisica del dispositivo;
• catturare l’audio utilizzando il microfono del dispositivo;
• fornire a un utente malintenzionato l’opportunità di vedere lo schermo del dispositivo in tempo reale;
• eseguire da remoto vari gesti (tocchi e passaggi);
• fare clic da remoto su elementi o coordinate specificati sullo schermo;
• simulare lo scorrimento e inserire il testo nei campi specificati;
• simulare la pressione di pulsanti fisici come Indietro, Home e App recenti;
• attivare da remoto lo schermo del dispositivo per rendere qualsiasi informazione disponibile per l’acquisizione;
• Regolare le impostazioni come luminosità e volume.

Secondo ThreatFabric, lo sviluppatore di Brokewell è un hacker criminale con il soprannome di Baron Samedit, che da almeno due anni vende strumenti per il controllo di conti rubati.

Va inoltre notato che lo studio ha rivelato un altro strumento chiamato Brokewell Android Loader, anch’esso creato da questo autore. Lo strumento era ospitato su uno dei server di controllo di Brokewell. In particolare, questo downloader è in grado di aggirare le restrizioni introdotte da Google in Android 13 e versioni successive del sistema operativo per combattere l’abuso del servizio di accessibilità da parte degli APK caricati al di fuori del Google Play Store.

Gli esperti concludono che molto probabilmente Brokewell verrà finalizzato e nel prossimo futuro inizierà a essere venduto ad altri criminali sulla darknet secondo lo schema Malware-as-a-Service (MaaS).

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.