Così ti rubano il pin dello smartphone

La crescente diffusione e sofisticazione dei malware per dispositivi mobili, negli ultimi anni, ha reso gli smartphone un obiettivo primario per i cybercriminali. Lo scorso anno, l’espansione di codici malevoli per dispositivi Android ha registrato numeri preoccupanti: secondo Kaspersky, sono stati bloccati oltre 33,8 milioni di attacchi tra malware, adware e riskware, con un aumento delle minacce legate ai trojan bancari e altre forme di malware pensati per il mobile. Quelli per Android si stanno evolvendo rapidamente, passando da semplici adware e a soluzioni più insidiose e difficili da rilevare, capaci di eludere le difese degli utenti più esperti. Uno dei più recenti e preoccupanti è TrickMo nelle sue ultime varianti, un trojan che ha attirato l’attenzione delle comunità di esperti di sicurezza per l’aggiornamento delle sue capacità che lo rendono ancora più pericoloso.

VECCHIA CONOSCENZA

È stato documentato per la prima volta dagli specialisti della divisione sicurezza di IBM X-Force nel 2020. Di recente, invece, la società di sicurezza informatica Cleafy ha rivelato che TrickMo è stato aggiornato con nuove funzionalità, tra queste, l’intercettazione di, OTP, la registrazione dello schermo, l’esfiltrazione dei dati e la possibilità di lanciare attacchi, in gergo overlay, col fine di proporre all’utente delle false schermate in cui inserire le credenziali, tra queste il PIN utilizzato per sbloccare lo smartphone.
Un’evoluzione che ha reso TrickMo molto pericoloso, poiché non solo sottrae informazioni sensibili ma, potenzialmente, apre anche la porta a ulteriori attacchi, come l’accesso non autorizzato ai conti bancari, il furto di dati di accesso a servizi online e la compromissione della privacy. Gli esperti di Zimperium hanno stimato che le vittime del malware siano oltre 13mila, con la diffusione che avviene principalmente tramite phishing.
Per ridurre al minimo il rischio di infezione, si raccomanda di evitare il download di file APK da URL sospette. Fortunatamente, Google Play Protect (la funzionalità di sicurezza integrata nei dispositivi Android che serve a proteggere smartphone o tablet da applicazioni dannose) dovrebbe essere in grado di rilevare e bloccare tutte le varianti conosciute, ma è possibile che ne esistano altre non ancora documentate.

Google Play Protect permette di analizzare tutte le applicazioni presenti sui telefoni Android e impedisce l’installazione di malware o app dannose.

COME FA A RUBARE IL TELEFONO

La variante di TrickMo che consente a un cybercriminale di rubare il PIN dello smartphone della vittima, induce l’utente a inserire il codice su una schermata che sembra proprio quella del sistema operativo del telefono. Nello specifico, durante la navigazione Web, il sistema visualizza a schermo intero una pagina HTML, ospitata su un sito esterno, che imita alla perfezione l’interfaccia del sistema operativo per la richiesta del codice di sblocco; se l’utente, ignaro del pericolo, digita il PIN o la sequenza di sblocco, queste informazioni, insieme a un identificativo unico del dispositivo, vengono inviate così al server dell’attaccante tramite una richiesta HTTP di tipo POST. Grazie al PIN trafugato gli aggressori possono in seguito sbloccare il dispositivo, magari durante la notte quando non è monitorato, e così perpetrare i loro scopi malevoli.

Lo script malevolo che associa il PIN digitato dall’utente a un dispositivo Android specifico. Per farlo, utilizza il metodo getAndroidID, che fornisce un valore univoco identificativo dello smartphone.

VI CHIEDE DI AGGIORNARE GOOGLE PLAY SERVICES

TrickMo a è un’app definita in gerso “dropper” (spesso spacciata per il browser Google Chrome), distribuita tramite allegati e-mail infetti, download di software da fonti non sicure o applicazioni apparentemente legittime scaricate da siti web o store di app non ufficiali. Questa tenta di ingannare gli utenti e, se ci riesce, una volta installata, li invita ad aggiornare Google Play Services, il sistema responsabile del corretto funzionamento e dell’aggiornamento delle app sui dispositivi Android. Questo falso aggiornamento richiede il download di un file APK che contiene il payload TrickMo, mascherato da servizio di Google, chiedendo all’utente, ignaro del pericolo, di attivare i servizi di accessibilità per la nuova app. Questa operazione conferisce un controllo esteso sullo smartphone, inclusa la possibilità di disabilitare funzioni di sicurezza, impedire aggiornamenti di sistema e rimuovere app specifiche. Ciò permette al cybercriminale di intercettare messaggi SMS, manipolare le notifiche per nascondere o leggere codici di autenticazione e condurre attacchi con HTML overlay per sottrarre informazioni sensibili.

Leggi anche: “Scylla malware ha infettato milioni di utenti ios e android“The post Così ti rubano il pin dello smartphone first appeared on Hackerjournal.it.