Check Point Research ha scoperto un pericoloso malware all’interno di 9 applicazioni del Google Play Store. Queste sono state prontamente rimosse, ma hanno messo a rischio la sicurezza degli utenti, grazie a un dropper chiamato Clast82.
Il programma nasce con l’intento di diffondere il virus sugli smartphone che hanno scaricato una delle app in questione. Questo strumento permette all’hacker di ottenere accesso al device infettato e attingere a dati sensibili, compresi quelli finanziari. Infatti questo malware permette all’attaccante di bypassare anche la protezione a due fattori, autenticandosi in automatico.
Ma come funziona il malware di Play Store? I tecnici del Threat Intelligence di Check Point Software hanno studiato il funzionamento del virus e hanno delineato la sua modalità di attacco:
Clast82 sfrutta il malware-as-a-service AlienBot Banker, un virus di secondo stadio che prende di mira le app finanziarie bypassando i codici di autenticazione a due fattori per tali servizi. Allo stesso tempo, Clast82 è dotato di un trojan di accesso remoto mobile (MRAT) in grado di controllare il dispositivo con TeamViewer, rendendo l’hacker il vero possessore a insaputa della vittima.
Il percorso di questo malware comincia dal momento in cui un utente scarica una delle app di utility di Google Play Store che abbia al suo interno il dropper Clast82. Successivamente questo comunica con il server e ottiene la configurazione. A questo punto il dropper scarica il payload ricevuto e lo installa sul dispositivo Android. Così, l’hacker riesce a ottenere l’accesso ai dati sensibili della vittima, controllando anche lo smartphone.
Inoltre Clast82 utilizza Firebase, un servizio di cloud per sviluppatori mobile acquisito da Google nel 2014. Ma ecco una lista delle app coinvolte in questa falla alla sicurezza di Google Play Store.
Ecco quali sono le app vittima di questo attacco hacker, segnalate il 28 gennaio e rimosse a febbraio.
- Cake VPN
- Pacific VPN
- eVPN
- BeatPlayer
- QR/Barcode Scanner MAX
- eVPN
- Music Player
- tooltipnatorlibrary
- QRecorder