ESET, azienda specializzata in sicurezza informatica, ha individuato una nuova variante del Trojan bancario BankBot, nascosto su Google Play dietro una falsa versione del gioco Jewels Star. Individuato dai ricercatori già all’inizio del 2017, BankBot si è evoluto nel corso dell’anno, ripresentandosi in diverse versioni sia dentro che fuori Google Play.
La nuova variante individuata su Google Play ad inizio settembre è la prima che è riuscita a combinare le ultime funzioni evolute di BankBot: il sistema di offuscamento del codice migliorato, una sofisticata funzionalità di esecuzione del payload e un complesso meccanismo di infezione che sfrutta il Servizio Accessibilità di Android.
Quando un utente scarica da Google Play Jewels Star Classic (i cybercriminali hanno usato impropriamente il nome della serie di giochi legittimi Jewels Star, che non sono in alcun modo legati a questa campagna malware), ottiene un gioco Android perfettamente funzionante ma che nasconde il payload di BankBot. Il codice malevolo viene innescato dopo 20 minuti dalla prima esecuzione di Jewels Star Classic attraverso un avviso che compare sul dispositivo e che richiede all’utente di abilitare “Google Service”. Dopo aver cliccato su OK – l’unico modo per far scomparire l’avviso – l’utente viene indirizzato sul menu di Accessibilità di Android nel quale, oltre a quelli legittimi in elenco, comparirà il nuovo “Google Service” creato dal malware. La descrizione visualizzata a questo punto – presa dai Termini del Servizio originali di Google – chiede un nuovo OK attraverso il quale l’utente fornisce i permessi di accessibilità a BankBot, dando così la massima libertà al malware di svolgere qualsiasi attività pericolosa, tra cui il furto dei dati della carta di credito della vittima.
Gli utenti che nell’ultimo mese hanno scaricato molte app da Google Play potrebbero avere il dubbio che il dispositivo sia stato colpito da questo malware; controllare la presenza di Jewels Star Classic non è sufficiente perché i criminali cambiano spesso l’app usata per diffondere BankBot. Gli indicatori da controllare per verificare la presenza di infezione sono principalmente due: la presenza di un’app chiamata “Google Update” o di “System update” tra gli amministratori attivi del dispositivo e infine la visualizzazione continua dell’avviso “Google Service”.
Per pulire manualmente il dispositivo bisogna innanzitutto disabilitare i diritti di amministratore sul dispositivo per “System update” e quindi procedere alla disinstallazione di “Google Update”. Tuttavia individuare l’app che ha avviato il processo di infezione (in questo caso Jewels Star Classic) non è facile a causa del ritardo di 20 minuti imposto all’inizio delle attività malevole, ma anche perché l’app fasulla funziona apparentemente come dovrebbe.
