Attualmente, le campagne attive contro gli utenti Android stanno portando i trojan bancari FluBot e Medusa. Entrambi i trojan utilizzano lo stesso meccanismo di distribuzione in una campagna di attacco simultaneo. La scoperta arriva dai ricercatori di sicurezza di ThreatFabric.
Medusa e FluBot Trojan lavorano insieme
Secondo il rapporto, in meno di un mese, Medusa ha contagiato più di 1500 dispositivi in una botnet, usando DHL per nasconderlo. Il trojan utilizza più botnet per ciascuna delle sue campagne, quindi il numero di infezioni dovrebbe crescere rapidamente. Nel frattempo, FluBot, noto anche come Cabbasso, continua ad evolversi e le sue campagne non si sono fermate. I due trojan sono attualmente distribuiti insieme.
“Dopo aver preso di mira le organizzazioni finanziarie turche nel suo primo periodo di attività in 2020, Medusa ha ora spostato la sua attenzione sul Nord America e sull'Europa, che si traduce in un numero significativo di dispositivi infetti. Alimentato con più funzioni di accesso remoto, Medusa rappresenta una minaccia fondamentale per le organizzazioni finanziarie nelle regioni interessate,”i ricercatori disse.
FluBot, d'altronde, continua la sua evoluzione maligna, ed è ora dotato di un importante aggiornamento che ha introdotto il tunneling DNS tramite servizi pubblici DNS over HTTPS, oltre alla possibilità di sfruttare la funzione Notification Direct Reply su Android. Può anche intercettare le notifiche, consentendo ai suoi operatori di manipolare le notifiche da app mirate su un dispositivo compromesso.
Ciò che è più minaccioso per gli utenti Android in Medusa è il suo semi-ATS (Sistema di trasferimento automatizzato) capacità. “È dotato di un motore di scripting per l'accessibilità che consente agli attori di eseguire una serie di azioni per conto della vittima, con l'aiuto del servizio di accessibilità Android. Inoltre, Medusa sfoggia altre caratteristiche pericolose come il keylogging, Registrazione degli eventi di accessibilità, e streaming audio e video – tutte queste capacità forniscono agli attori un accesso quasi completo al dispositivo della vittima,” hanno aggiunto i ricercatori.
L'anno scorso, FluBot ha utilizzato i messaggi SMS (poco conosciuto come smishing) sulla "mancata consegna del pacco" per propagarsi tra gli utenti Android nel Regno Unito. In quella particolare campagna, FluBot è stato installato quando la vittima ha ricevuto il suddetto messaggio di testo in cui le veniva richiesto di installare un'app di tracciamento relativa alla mancata consegna del pacco. L'applicazione era dannosa, appositamente progettato per rubare password e altri dettagli sensibili.
Milena Dimitrova
Uno scrittore ispirato e un gestore di contenuti che è stato con SensorsTechForum dall'inizio del progetto. Un professionista con 10+ anni di esperienza nella creazione di contenuti accattivanti. Incentrato sulla privacy degli utenti e lo sviluppo di malware, crede fortemente in un mondo in cui la sicurezza informatica gioca un ruolo centrale. Se il buon senso non ha senso, lei sarà lì per prendere appunti. Quelle note possono poi trasformarsi in articoli! Seguire Milena @Milenyim
Seguimi: