Gli stessi attori responsabili delle campagne Ursnif, in costante evoluzione in Italia, starebbero ora diffondendo DroidJack per Android, un RAT (Remote Administration Tool) veicolato tramite false e-mail dell’Agenzia delle Entrate contenenti link che rilasciano un APK trojanizzato.
“Per la prima volta assistiamo a una campagna Ursnif rivolta ad utenti Android. L’apertura di un nuovo fronte da parte di Ursnif risulta ancora più preoccupante se considerata insieme alle massicce ondate precedenti. Infatti, non solo abbiamo assistito ad un notevole incremento degli attacchi in termini quantitativi ma adesso si aggiunge una svolta qualitativa, in cui gli autori hanno investito risorse per spostare il loro target da Windows ad Android”, denunciano gli esperti di cyber security del CERT-AGID.
Indice degli argomenti
La falsa comunicazione dell’Agenzia delle Entrate
Il messaggio di posta elettronica rilevato e avente per oggetto “Notificazione! Comunicazione di compenso fiscale” riprendendo le finte comunicazioni della Agenzia delle Entrate, solitamente utilizzate per veicolare il malware Ursnif, invita il lettore a riscuotere un rimborso fiscale compilando un modulo proposto tramite link.
Tale link restituisce, se aperto da un dispositivo Android, un file APK denominato “Agenzia.apk” che nasconde il RAT DroidJack.
Falsa comunicazione dell’Agenzia delle Entrate (fonte: D3Lab).
I dettagli del RAT DroidJack
Messo a disposizione a chiunque acquisti la licenza a vita per 210 dollari come Malware as a Service, DroidJack è un RAT (Remote Administration Tool) Android che consente di allestire un file APK insospettabile, ma che in realtà nasconde un trojan per il controllo, il monitoraggio del traffico dati, l’intercettazione delle conversazioni, l’acquisizione di SMS, video e chiamate effettuate del dispositivo compromesso.
Sito promozionale del RAT DroidJack.
Dalle analisi effettuate dal CERT-AGID, appena installato, il campione malware rilevato provvede a:
- registrare il dispositivo compromesso inviando al server C2 (62[.]173.138.15) i dati su brand, modello, versione Android e numero di telefono;
- acquisire informazioni presenti sul dispositivo conservandole su di un database SQLite “SandroRat”;
- cifrare le informazioni con l’algoritmo AES (Advanced Encryption Standard) ed inoltrarle sulla porta 1177 del Server C2.
Campagna DroidJack: stessa matrice Ursnif, nuovo target
Come confermato dal CERT-AgID, la matrice di questa campagna sarebbe da attribuire agli stessi autori di Ursnif per una serie di elementi:
- il tema dell’Agenzia delle Entrate;
- le e-mail utilizzano lo stesso oggetto;
- Il contenuto è identico a quello utilizzato per le campagne Ursnif;
- l’utilizzo di link dinamici Firebase;
- molte delle URL sono state già riscontrate nella campagna Ursnif del 14 marzo 2023.
- l’infrastruttura che distribuisce i file APK è la stessa delle campagne precedenti di Ursnif.
Pertanto, sarebbe in corso un tentativo di colpire un nuovo bacino target (gli utenti Android rappresenterebbero il 30% delle potenziali vittime, secondo il CERT-AGID), aggiungendo così un’altra freccia all’arco degli operatori Ursnif, accrescendo di fatto la potenza di attacco già in atto perpetrato con massicce ondate malspam e in crescita nelle ultime settimane contro gli utenti Windows.
Raccomandazioni per difendersi da DroidJack
Si ricorda che l’Agenzia delle Entrate (che si dichiara come sempre totalmente estranea a questi messaggi) permette ai contribuenti di consultare le proprie informazioni fiscali attraverso l’area personale presente sul sito ufficiale e accessibile tramite SPID/CIE/CNS e in caso di dubbi sull’autenticità di eventuali comunicazioni di rivolgersi ai contatti reperibili sul sito istituzionale o all’Agenzia territorialmente competente.
In ogni caso di fronte ad una e-mail sospetta, si raccomanda sempre di:
- non fornire alcun dato personale;
- non aprire gli allegati;
- non cliccare su link eventualmente presenti;
- eliminare il messaggio ricevuto.
Per salvaguardarsi da questi tipi di insidie si consiglia altresì di non scaricare mai file APK da fonti alternative e di porre sempre attenzione ai permessi concessi alle applicazioni in fase d’installazione.
Il CERT-AGID ha reso disponibili gli IoC relativi all’attuale minaccia sulla sua piattaforma.
