Spy.Banker è un trojan che mira al vostro conto PayPal (video)

Nicola Ligas
Nicola Ligas Tech Master
Spy.Banker è un trojan che mira al vostro conto PayPal (video)

I ricercatori di ESET hanno individuato un nuovo trojan molto pericoloso per chiunque abbia l'app di PayPal installata sul proprio smartphone. Mascherato da app per l'ottimizzazione della batteria (un grande classico - NdR), questo trojan per fortuna non si trova sul Play Store ma su store di terze parti. Ve lo dovete insomma andare un po' a cercare, ma del resto è sulla disattenzione degli utenti che contano questo tipo di software.

Una volta lanciata la fittizia app per la batteria, questa va in crash e si auto-cancella dall'app drawer, ed un utente poco esperto potrebbe non farci caso o pensare che si sia disinstallata da sola. Invece il trojan così si attiva, e qualora doveste avviare l'app di PayPal verrà mostrata in sovraimpressione una schermata che invita l'utente ad abilitare le statistiche. Acconsentendo, il "virus" prende il controllo per pochi secondi dell'app PayPal, trasferendo 1.000 euro su un conto esterno. E potrebbe farlo ogni volta che riavvierete l'app di PayPal, a meno che sul vostro conto non ci siano soldi e nessuna carta associata dalla quale prelevare.

In maniera analoga, lo stesso trojan minaccia anche altre app, quali Google Play, WhatsApp, Skype, Viber e Gmail, rubando dati delle carte di credito o il login Google.

Come sempre, il nostro consiglio è quello di installare solo app provenienti dal Play Store e di stare anche attenti al comportamento ed al contenuto di queste app. Come illustra anche il video qui sotto, questo particolare trojan ha bisogno di diverse interazioni da parte dell'utente prima di essere davvero nocivo, e purtroppo non c'è sistema di protezione automatica al mondo che possa metterci al sicuro... da noi stessi.

Il trojan per Android Spy.Banker ruba soldi dal conto Paypal

Roma, 13 dicembre 2018 - I ricercatori di ESET hanno scoperto un trojan per Android che si insinua all’interno dell’app ufficiale di Paypal per rubare soldi alla vittima, effettuando un pagamento direttamente all’indirizzo Paypal dell’hacker.

Il malware fa finta di essere un’innocua app per l’ottimizzazione della batteria dello smartphone, come ve ne sono tante, ma una volta lanciata chiude subito la schermata – come se fosse difettosa – e nasconde l’icona dal telefono. Per gli utenti meno esperti è come se l’app si fosse disinstallata da sola.

In realtà il trojan è ancora in esecuzione, cerca sul telefono la presenza dell’app ufficiale di Paypal e – se presente – mostra una schermata di alert chiedendo all’utente di aprirla. Una volta che l’utente ha lanciato l’app di Paypal, il malware mostra una schermata con un messaggio fuorviante che chiede all’utente di “abilitare le statistiche“.

In realtà facendo clic su “ok” l’utente consente al trojan di operare sull’app di Paypal. Il malware prende così per pochi secondi il controllo dell’account Paypal dell’utente, inviando 1000 Euro all’indirizzo Paypal dell’hacker (la valuta dipende dall’ubicazione della vittima).

Tutta l’operazione dura a malapena 5 secondi, e non vi è modo per l’utente di fermare il processo. Da notare che poiché il malware prende il controllo dell’app di Paypal dopo che l’utente ha effettuato il login, questa truffa funziona anche se la protezione a due fattori è attiva.

Il ricercatore Lukas Stefanko ha pubblicato un video dove mostra tutta l’operazione. (https://www.youtube.com/watch?v=yn04eLoivX8).

L’attacco avviene ogni volta che l’utente apre l’app di Paypal, ciò significa che il furto potrebbe ripetersi più e più volte, fino a che l’utente non rimuove il trojan o non blocca il suo conto Paypal. Il furto fallisce solo se l’utente non ha abbastanza soldi sul suo conto e se non vi è alcuna carta di credito collegata. Ma vi è anche un’ulteriore funzione del trojan, che gli consente di rubare i dati della carta di credito dell’utente mostrando delle schermate in overlay per cinque applicazioni: Google Play, WhatsApp, Skype, Viber e Gmail. In questo caso attraverso le finte schermate il trojan ruba i dati della carta di credito che l’utente crede di stare inserendo all’interno delle suddette app, oppure i dati di login a Gmail. Simili schermate di overlay sono usate dal malware anche su diverse app bancarie per rubare le credenziali di accesso agli account di internet banking.

L’unica nota positiva è che questo particolare trojan non si trova sul marketplace ufficiale di Android, Google Play, ma su marketplace di terze parti. I ricercatori ESET tuttavia hanno trovato un altro trojan su Google Play (ora rimosso) che operava in maniera simile e prendeva di mira gli utenti brasiliani, insinuandosi all’interno di alcune app bancarie usate in Brasile.

Come proteggersi?

Bisogna adottare misure preventive e controlli ex-post.

Anzitutto limitarsi a installare app solo da Google Play, perché anche se il marketplace di Google non è estraneo ad app malevole, dopo che queste vengono segnalate generalmente sono rimosse in breve tempo. Nei marketplace di terze parti non sempre questo avviene. Inoltre sarebbe sempre bene controllare i voti e i commenti degli utenti, molte app malevole di solito hanno voti bassi e più di un utente commenta la presenza di truffe o di situazioni non esattamente pulite.

I controlli a posteriori vanno fatti su ogni transazione, sia di carta di credito, sia Paypal, credito telefonico o criptovalute, attivandosi immediatamente se si nota un’attività sospetta.

Infine è sempre consigliabile dotarsi di un prodotto antimalware anche per smartphone. ESET individua questi malware con i nomi Android/Spy.Banker.AJZ e Android/Spy.Banker.AKB.

Fonte: ESET