Nel nostro Open-Source Threat Hunting, i ricercatori di sicurezza Quick Heal hanno individuato un trojan bancario chiamato Aberebot, capace di ribuare informazioni sensibili dai dispositivi colpiti, inclusi dati finanziari e personali. 

Gli sviluppatori di malware utilizzano ormai tecniche contro l'ingegneria inversa molto avanzate e livelli di offuscamento sempre più alti per evitare l'individuazione da parte delle soluzioni di sicurezza. Nel corso della nostra analizi abbiamo avuto prova di come gli attaccanti si siano avvalsi di un'applicazione dannosa fake che richiede permissioni estremamente pericolose, come si vede in figura 1

Il malware ha varie funzionalità, tra le quali:

Il mese scorso invece i ricercatori di sicurezza di Android hanno individuato un nuovo trojan bancario chiamato Escobar. Questo malware è a versione più recente del trojan bancario Aberebot. Escobar presenta nuove funzionalità, ma non usa più Telegram per le comunicazioni C&C.  Lo scopo principale di questo trojan è ingannare l'utente e rubargli informazioni sensibili. 

La nuova variante Escobar usa un nome e un'icona come fosse un'app legittima, per ingannare l'utente. Il pacchetto APK dannoso si chiama  “com.escobar.pablo”. 

L'app richiede permissioni invasive e pericolose come

Ha anche funzionalità per il furto di dati sensibili come contatti, SMS, log delle chiamate e localizzazione del dispositivo. Oltre a registrare chiamate e audio, il malware cancella anche file, invia SMS ed effettua chiamate. Utilizza anche la fotocamera di base scattando foto. Tutte le funzionalità si attivano o meno a seconda dei comandi che gli autori del malware inviano dal server C&C. 

Il malware Escobar ha anche funzionalità nuove:

Il malware bancario usa vari temi per ingannare gli utenti. Abbiamo analizzato alcune applicazioni che si spacciavano per altre app bancarie sfruttando noti brand. L'esempio sotto riferisce a ICICI Reward, un app bancaria legittima molto diffusa in India

Il malware ruba le informazioni delle carte di credito e debito, le password del banking online e gli SMS per leggere e inviare le password one-time per conto della vittima. 

Tutti i dati sono criptati prima di essere inviati al server C&C: una volta inviati tutti gli SMS al server, gli attaccanti inviano un comando che elimina tutti gli SMS dal dispositivo della vittima. Sotto il codice usato per cancellare tutti gli SMS:

Quick Heal individua queste app dannose con i nomi  “Android.Agent” e “Android.Banker” 

E' consigliabile dotarsi di soluzioni antivirus affidabili come Quick Heal Total Security per Android per minimizzare questi rischi e proteggere dispositivi e dati. 

Come illustrato sopra, i malware bancari usano nuove tecniche per ingannare gli utenti, anche usando icone di app legittime e molto note. Questi trojan bancari possono causare molti danni sui dispositivi infetti. Questa tipologia di trojan bancari è venduta dagli sviluppatori nei forum del dark web e usa vari app store e siti web di terze parti per la diffusione. Gli utenti dovrebbero prestare molta attenzione a queste app fake e non scaricare e installare app da fonti non sicure.