È stata identificata una nuova variante del malware Copybara che, a partire dalla fine del 2023 ha iniziato a prendere di mira gli utenti italiani utilizzando TTPs (Tactics, Techniques and Procedures) peculiari e innovative per diffondere la minaccia.
Ciò evidenzia come il panorama delle minacce Android sia in continuo sviluppo: criminal hacker, motivati da scopi finanziari, sfruttano e abusano il crescente utilizzo di applicazioni per la gestione ed erogazione di servizi sensibili, come quelli bancari.
E la compromissione di account in questi contesti può avere conseguenze significative.
I ricercatori del team di Tinexta Cyber hanno ricostruito l’evoluzione della minaccia, evidenziando come essa sia diventata particolarmente rilevante nel mondo Android nel corso di pochi anni.
Indice degli argomenti
L’evoluzione del malware Copybara
Copybara è una variante di Brata, una famiglia di malware scoperta nel 2019 da Kaspersky.
Brata si diffondeva tramite siti compromessi e sfruttava la vulnerabilità CVE-2019-3568 su WhatsApp per colpire utenti in Sud America. Una caratteristica importante di Brata è l’utilizzo del framework B4X/B4A, una versione moderna di Visual Basic che supporta molte piattaforme e può compilare applicazioni in modo nativo. Questa caratteristica è stata mantenuta in tutte le varianti.
Nella seconda metà del 2021 sono state scoperte due nuove varianti, chiamate AmexTroll e Copybara, che presentavano caratteristiche comuni con Brata, ma anche differenze in termini di codice, attori e TTPs. Nel 2022 è stata scoperta un’altra variante, denominata IRATA, che infettava utenti iraniani.
La catena di attacco di Copybara
La ricerca condotta dal team di Tinexta Cyber sulla nuova variante di Copybara scoperta nel 2024 ha evidenziato l’uso del protocollo MQTT per la comunicazione con il C2.
“Il protocollo MQTT (Message Queueing Telemetry Transport), è particolarmente utilizzato per gli oggetti IoT (Internet of Things), si basa su un modello publish-subscribe, con una netta distinzione tra chi invia e chi riceve”, spiega Luigi Martire, Technical Leader – CERT di Tinexta Cyber.
“Inoltre – continua l’esperto – gli attori criminali utilizzano il phishing kit Mr.Robot per raccogliere credenziali e numeri di telefono tramite social engineering, nello specifico smishing/vishing. Si presentano come personale della banca per manipolare la vittima e convincerla a scaricare ed eseguire Copybara”.
Una volta eseguito, il malware richiede di essere abilitato come “servizio di accessibilità”. Le applicazioni abilitate a questo servizio possono essere eseguite in background e hanno accesso a determinati eventi, come transizioni nell’interfaccia o clic su pulsanti. Sebbene legittimamente utilizzate per aiutare persone con disabilità, queste funzionalità vengono abusate per sviluppare malware per Android e raccogliere informazioni sulle vittime.
L’abuso delle tecniche di smishing e vishing
In questa campagna, sono stati osservati due differenti modi di operare, il primo è tramite l’uso di phishing, con cui gli attori ricavano informazioni sulla vittima, chiamano ponendosi come personale della banca introducendosi come responsabili della sicurezza e manipolano la vittima a far installare l’applicazione.
Il secondo metodo è un po’ meno diretto, in quanto la vittima riceve un messaggio credendo sia legittimo, riguardo sempre un possibile problema di sicurezza e invita a contattare il numero riportato in caso di incongruenza con quanto riportato dal messaggio, la figura rappresenta questo scenario.
Acquisendo informazioni su questo numero tramite vari siti che consentono di segnalarli, le statistiche riportano 60 ricerche nel mese di giugno e una chiamata confermata da una vittima.
“Il nostro recente studio sul malware Copybara ha rivelato un’evoluzione sofisticata nell’utilizzo di protocolli di comunicazione avanzati come il MQTT, segnalando una significativa mutazione nelle TTP (tattiche, tecniche e procedure) dei cyber criminali”, commenta Fabrizio Vacca, MSS Operations Director – Tinexta Cyber.
“Questo progresso mette in evidenza l’importanza cruciale di adattare continuamente le nostre strategie di difesa per fronteggiare minacce sempre più complesse e mirate. La scoperta è stata resa possibile grazie alla tecnologia avanzata e all’expertise di Tinexta Cyber. In particolare, l’Applicativo SOC NDR “Defensyo”, progettato specificamente per le PMI, è stato fondamentale nell’intercettare queste minacce. Il SOC di Tinexta Cyber, supportato dall’appliance proprietaria, ha dimostrato una notevole efficacia nel rilevamento precoce del malware. Questo approccio, conforme agli standard NIS2, garantisce una protezione robusta e all’avanguardia per le imprese”, conclude Vacca.
