In un’epoca in cui lo streaming di film e serie TV è diventato una consuetudine, i cybercriminali stanno sfruttando questa tendenza per diffondere un nuovo e pericoloso malware. StreamRat, un trojan bancario, si nasconde in false app di streaming gratuito e permette ai malintenzionati di accedere ai dispositivi Android da remoto, rubando credenziali di accesso ai conti bancari.
La campagna di infezione inizia con la pubblicazione di inserzioni su Meta, Facebook e TikTok, con un focus particolare sugli utenti spagnoli. Le inserzioni promuovono un’app chiamata StreamTV esp, che promette l’accesso gratuito a film e serie TV. Gli utenti vengono indirizzati a un sito web dove possono scaricare l’app, che in realtà è un file APK dannoso.
Il meccanismo di infezione di StreamRat
Una volta scaricato e installato, il malware richiede ai utenti di abilitare i servizi di accessibilità e di concedere permessi di amministrazione. Questi passaggi sono fondamentali per permettere a StreamRat di operare in modo nascosto e di eludere i meccanismi di sicurezza del dispositivo.
Dopo l’installazione, StreamRat effettua una scansione del dispositivo per identificare le app bancarie installate. Una volta individuate, invia un elenco al server di comando e controllo (C2), che risponde inviando interfacce sovrapposte (overlay) a quelle legittime. Queste interfacce false vengono utilizzate per rubare le credenziali di accesso ai conti bancari.
L’uso della VPN per eludere le difese
Prima di scaricare il payload finale, il malware chiede il permesso di creare una connessione VPN. Questa VPN viene utilizzata temporaneamente per bloccare eventuali scansioni di sicurezza, come quelle di Google Play Protect, o per ostacolare l’analisi del codice. Una volta completata l’installazione, la VPN viene disattivata, permettendo a StreamRat di comunicare liberamente con il server C2.
Le capacità di StreamRat
StreamRat è un malware estremamente sofisticato, capace di effettuare lo streaming dello schermo e la cattura di screenshot tramite VNC e HVNC. Durante l’accesso remoto, l’utente vede una schermata nera o un falso aggiornamento software, senza accorgersi di nulla. Questo livello di controllo remoto permette ai cybercriminali di operare in modo completamente nascosto.
Secondo i ricercatori di ThreatFabric, StreamRat è offerto con un modello MaaS (Malware-as-a-Service), il che significa che è disponibile per l’acquisto o l’affitto da parte di altri criminali informatici. Questo modello di business rende il malware ancora più pericoloso, in quanto può essere utilizzato da un numero maggiore di malintenzionati.
La campagna di infezione è stata identificata in Spagna, dove ha raggiunto un numero significativo di utenti. Secondo i dati disponibili, l’inserzione ha raggiunto circa 570.950 account Meta nell’Unione Europea. Tuttavia, il numero esatto di dispositivi infetti e vittime confermate non è ancora stato reso pubblico.
Per proteggersi da StreamRat e altri malware simili, è fondamentale evitare di scaricare app da fonti sconosciute e di concedere permessi di amministrazione a applicazioni non verificate. Inoltre, è importante mantenere aggiornati i dispositivi e utilizzare soluzioni di sicurezza affidabili.
