Il malware BlackRock prende di mira le app bancarie

Un nuovo malware bancario si sta diffondendo sui dispositivi Android. Utilizza il codice sorgente dell'ormai defunto malware Xerxes e una variante ancora più vecchia chiamata LokiBot. Gli hacker utilizzano il malware per prendere di mira le app che sono già state manipolate in altre campagne di malware.

I sistemi operativi sono in continua evoluzione, ma lo sono anche i trojan bancari che vogliono annidarsi su questi sistemi. Quando i trojan sono nascosti all'interno delle app, di solito vengono rilevati prima che possano essere distribuiti attraverso gli app store ufficiali. Pertanto, i criminali informatici li offrono principalmente tramite app store non ufficiali e siti Web loschi.

Quando viene rilasciata una nuova versione di Android, il vecchio malware smette di funzionare. Quindi compaiono nuove versioni, per lo più basate sul vecchio codice. L'attuale variante BlackRock z. B. utilizza elementi di codice che hanno in parte 4 anni.

ThreatFabric ha studiato il comportamento di BlackRock una volta che il malware ha infettato un dispositivo. Come previsto, tutti i dati possono essere manipolati. "Quando il malware viene eseguito per la prima volta sul dispositivo, la prima cosa che fa è nascondere l'icona dell'app in modo che l'utente non se ne accorga", affermano gli esperti di malware. "Successivamente, l'app chiederà all'utente di concedergli i diritti di accessibilità Android. Spesso si maschera da aggiornamento di Google”.

La funzionalità di accessibilità su Android ha uno scopo completamente diverso, ma è molto completa e di conseguenza viene spesso utilizzata dagli autori di malware per ottenere le autorizzazioni necessarie.

BlackRock spia i dettagli della carta di credito e le password bancarie

BlackRock può inviare SMS, inviare copie SMS di e-mail personali a Control and Command Center, avviare app all'avvio, forzare i dispositivi a rimanere sulla schermata iniziale, aggiungere un profilo di amministratore del dispositivo per l'app e altro ancora.

Poiché si tratta di un trojan bancario, tenterà di rubare i dettagli della carta di credito e le password bancarie, tramite l'acquisizione di moduli o l'utilizzo di overlay di phishing specifici per l'app. Il malware indirizza l'utente ai file archiviati localmente anziché alla versione online, quindi i dati vengono inviati al centro C&C.

Molte app infettate dal malware non hanno nulla a che fare con la finanza, ma sono social media, messaggi di testo o app di appuntamenti. Qui è possibile sfruttare molti dati, che a loro volta possono essere utili in altre campagne. Tra i target target ci sono principalmente banche e utenti europei, seguiti da Australia e Nord America.