I ricercatori di ESET hanno individuato una nuova serie di false app bancarie nello store ufficiale Google Play che, dichiarando di aumentare il plafond delle carte di credito degli utenti, cercano di ottenere i dettagli delle carte e le credenziali di accesso all’Internet banking. Cosa ancora peggiore, i dati rubati alle vittime sono stati diffusi online, in chiaro, tramite un server esposto.
Figura 1 – Le app pericolose su Google Play
Le tre app legittime interessate, iMobile by ICICI Bank, RBL MoBANK, HDFC Bank MobileBanking (New) – sono state caricare su Google Play tra giugno e luglio 2018 e, a seguito della segnalazione di ESET, sono state immediatamente rimosse dallo store ufficiale di Google; purtroppo però centinaia di vittime erano già state infettate. Le app compromesse, rilevate dalle soluzioni di ESET come Android/Spy.Banker.AHR, sono state caricate sfruttando tre diversi nomi di sviluppatori e ognuna di esse tentava di spacciarsi per una differente banca; tutte e tre le app possono essere comunque ricondotte a un unico cyber criminale.
Come funzionano queste app?
Tutte e tre le app seguono la stessa procedura: al momento dell’esecuzione viene visualizzato un primo modulo che richiede i dati della carta di credito ed un secondo form che richiede le credenziali di accesso personali all’Internet banking. È interessante notare che, anche se tutti i campi sono contrassegnati come “richiesti” (*), entrambi i moduli possono essere inviati vuoti senza restituire un messaggio di errore – un chiaro indicatore di qualcosa di sospetto.
Figure 2 – Finti form di phishing per i dettagli delle carte di credito
Figura 3 – Finti form di phishing per le credenziali dell’internet banking
Facendo clic su entrambi i form, compilandoli o meno, gli utenti vengono indirizzati alla terza e ultima schermata, che ringrazia gli utenti per il loro interesse e li informa che un “Responsabile del servizio clienti” li contatterà a breve. Inutile dire che a questo punto nessuno contatterà le vittime e l’app non offrirà ulteriori funzionalità.
Figura 4 – L’ultima schermata mostrata dalle app pericolose
Nel frattempo, i dati inseriti nei moduli fasulli vengono inviati in chiaro al server del cyber criminale, che è accessibile a chiunque ne conosca l’indirizzo, senza richiedere alcuna autenticazione. Ciò aumenta esponenzialmente il possibile danno per le vittime, dal momento che i loro dati sensibili non sono solo a disposizione del criminale, ma sono potenzialmente disponibili per chiunque vi acceda.
Figura 5 – I dati bancari rubati disponibili in chiaro sul server del criminale
Recentemente i ricercatori di ESET hanno segnalato una falsa app MyEtherWallet che diffondeva pubblicamente le informazioni rubate, esponendo le chiavi private dei wallet delle vittime. Queste scoperte evidenziano la necessità di porre estrema cautela quando si scaricano app legate alle proprie finanze – che si tratti di denaro nel senso tradizionale del termine, o di criptovalute.
Come proteggersi
Se un utente ha installato e utilizzato una di queste app dannose, i ricercatori di ESET consigliano di disinstallarla immediatamente, controllare eventuali attività sospette sul proprio conto bancario e modificare il pin della carta di credito, insieme alla password di accesso all’Internet banking.
In generale, per evitare di cadere vittima di app di phishing, ESET suggerisce di:
- Fidarsi soltanto delle app di mobile banking collegate al sito Web ufficiale della propria banca
- Non inserire mai le proprie informazioni riservate nei moduli online se non si è sicuri della loro sicurezza e legittimità
- Quando si scaricano app da Google Play, prestare molta attenzione al numero di download, alle valutazioni e alle recensioni delle app
- Mantenere aggiornato il dispositivo Android e utilizzare una soluzione di sicurezza mobile affidabile
Nomi delle app interessate (legittime)
IoC
Per il momento, non pubblicheremo Indicatori di compromissione più specifici degli identificativi delle app, al fine di non esporre ulteriormente i dati già diffusi delle vittime.
5 Comments