Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Alessia Tomaselli : 22 Marzo 2023 06:54
I siti web che imitano le app di messaggistica istantanea come Telegram e WhatsApp distribuiscono versioni contenenti trojan e infettando gli utenti Android e Windows con il malware Cryptocurrency Clipper.
“Tutti puntano ai fondi di criptovaluta delle vittime, e molti di essi hanno come obiettivo i portafogli di criptovaluta”, hanno dichiarato i ricercatori ESET Lukáš Štefanko e Peter Strýček in una nuova analisi.
E’ la prima volta che un malware clipper basato su Android viene integrato nelle app di messaggistica istantanea.
Acquista il corso Dark Web & Cyber Threat Intelligence (e-learning version)
Il Dark Web e la Cyber Threat Intelligence rappresentano aree critiche per comprendere le minacce informatiche moderne. Tra ransomware, data breach e attività illecite, le organizzazioni devono affrontare sfide sempre più complesse per proteggere i propri dati e le infrastrutture. Il nostro corso “Dark Web & Cyber Threat Intelligence” ti guiderà attraverso i meccanismi e le strategie utilizzate dai criminali informatici, fornendoti competenze pratiche per monitorare, analizzare e anticipare le minacce.
Accedi alla pagina del corso condotto dall'Prof. Pietro Melillo sulla nostra Academy e segui l'anteprima gratuita.
Per un periodo limitato, potrai utilizzare il COUPON CTI-16253 che ti darà diritto ad uno sconto del 20% sul prezzo di copertina del corso
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
“Inoltre, alcune di queste app utilizzano il riconoscimento ottico dei caratteri (OCR) per riconoscere il testo dalle schermate memorizzate sui dispositivi compromessi, un’altra novità per i malware Android”.
L’attacco inizia subito dopo che un utente, ignaro della fregatura, clicca su uno degli annunci fraudolenti che comprare nei risultati di ricerca di Google che conduce a centinaia di canali YouTube e poi lo indirizza ai finti siti web di Telegram e WhatsApp.
La novità dell’ultimo gruppo di malware clipper è che è in grado di intercettare le chat della vittima e di sostituire gli indirizzi dei portafogli di criptovaluta inviati e ricevuti con indirizzi controllati dai cyber ladri.
Un altro gruppo di malware clipper utilizza l’OCR per trovare e rubare la seed phrase personale (una frase segreta di 12 o 24 parole che garantisce la sicurezza del portafoglio, la password e la chiave privata) sfruttando un plugin di machine learning chiamato ML Kit.
Ciò rende così possibile lo svuotamento dei portafogli.
Un terzo cluster è progettato per tenere sotto controllo le conversazioni di Telegram alla ricerca di determinate parole chiave, sia hard-coded che ricevute da un server, relative alle criptovalute e, in caso affermativo, esportare il messaggio completo, insieme al nome utente, al nome del gruppo o del canale, su un server remoto.
Infine, una quarta serie di clipper Android è in grado di cambiare l’indirizzo del portafoglio e di raccogliere informazioni sul dispositivo e dati di Telegram, come messaggi e contatti.
I nomi dei pacchetti APK per Android sono elencati di seguito.
org.telegram.messenger
org.telegram.messenger.web2
org.tgplus.messenger
io.busniess.va.whatsapp
com.whatsapp
ESET ha dichiarato di aver trovato anche due cluster Windows, uno che è stato progettato per scambiare gli indirizzi dei portafogli e un secondo gruppo che distribuisce trojan di accesso remoto (RAT) al posto dei clipper per ottenere il controllo degli host infetti e perpetrare il furto di criptovalute.
Tutti i campioni di RAT analizzati sono basati sul RAT Gh0st, disponibile pubblicamente, tranne uno, che impiega un maggior numero di controlli runtime anti-analisi durante la sua esecuzione e utilizza la libreria HP-socket per comunicare con il suo server.
Vale la pena sottolineare che questi cluster, nonostante seguano un modus operandi simile, rappresentano attività separate e probabilmente sviluppate da diversi soggetti.
La campagna è orientata verso gli utenti di lingua cinese, motivata principalmente dal fatto che sia Telegram che WhatsApp sono bloccati nel Paese.
“Le persone che desiderano utilizzare questi servizi devono ricorrere a mezzi indiretti per ottenerli”, hanno dichiarato i ricercatori.
“Non sorprende che questo costituisca un’ottima opportunità per i criminali informatici per abusare della situazione”.
Alessia Tomaselli