L'app TV gratuita che vi guarda mentre digitate il PIN della banca

TVTap è un'app IPTV gratuita che non è mai stata su Google Play. La gente quindi la cerca altrove, ed è proprio questo a renderla una buona esca.

Group-IB ha pubblicato questa settimana la sua analisi di RemControl, un trojan bancario Android affittato come servizio e diffuso tramite finte pagine Google Play che pubblicizzano quell'app. Gli annunci contengono identificativi di tracciamento Meta Pixel, il che indica traffico acquistato attraverso il sistema pubblicitario di Meta. Il malware porta con sé più di 30 sovrapposizioni di phishing rivolte a banche in Italia, Francia, Spagna, Polonia, Portogallo, Canada e negli Stati del Golfo. Il dominio del server di comando è stato registrato il 12 maggio e i primi campioni sono arrivati su VirusTotal il 19 luglio.

Quello che fa una volta installato è la parte brutta. Chiede i permessi di accessibilità di Android, poi li usa per dipingere una finta schermata di accesso sopra la vostra vera app bancaria e prendere il PIN, la data di scadenza della carta e i codici usa e getta mentre li digitate. Trasmette lo schermo all'operatore in diretta, registra i tasti premuti in ogni applicazione e annota le coordinate del gesto di sblocco su telefoni Samsung, Xiaomi, Huawei, OPPO e OnePlus. Un servizio VPN locale impedisce a Google Play Protect di farsi sentire. E quando andate a cercare il pulsante per disinstallare, blocca la schermata, in più di trenta lingue.

Group-IB identifica l'operatore come UNKK, da una stringa di affiliazione presente in ogni campione, e sospetta un legame con il gruppo dietro il trojan Medusa. La lezione di fondo è più vecchia di qualsiasi telefono Android: un'app televisiva non ha alcun motivo di chiedere i permessi di accessibilità, e una pagina del Play Store raggiunta da un annuncio non è il Play Store. La scansione di rete di Tendvane vi mostra almeno tutti i dispositivi collegati al Wi-Fi di casa, telefoni compresi.