Gli operatori dietro il malware mobile BlackRock sono tornati alla ribalta con un nuovo trojan bancario Android chiamato ERMAC che prende di mira la Polonia e ha le sue radici nel famigerato malware Cerberus, secondo l'ultima ricerca.
"Il nuovo trojan ha già campagne di distribuzione attive e sta prendendo di mira 378 app bancarie e wallet con overlay", ha dichiarato il CEO di ThreatFabric Cengiz Han Sahin in una dichiarazione via e-mail. Si ritiene che le prime campagne che coinvolgono ERMAC siano iniziate alla fine di agosto sotto le spoglie dell'app Google Chrome.
Da allora, gli attacchi si sono estesi per includere una gamma di app come banche, lettori multimediali, servizi di consegna, applicazioni governative e soluzioni antivirus come McAfee .
Basate quasi completamente sul famigerato trojan bancario Cerberus , le scoperte dell'azienda olandese di sicurezza informatica provengono dai post del forum pubblicati da un attore di nome DukeEugene il mese scorso, il 17 agosto, che invitavano i potenziali clienti a "noleggiare una nuova botnet Android con ampie funzionalità a una ristretta cerchia di persone " per 3000 dollari al mese.
DukeEugene è anche conosciuto come l'attore dietro la campagna BlackRock che è venuta alla luce nel luglio 2020. Dotato di una serie di funzionalità di furto di dati, l'infostealer e il keylogger provengono da un altro ceppo bancario chiamato Xerxes, che a sua volta è un ceppo del trojan bancario LokiBot Android. — con il codice sorgente del malware reso pubblico dal suo autore intorno a maggio 2019.
Cerberus, nel settembre 2020, ha avuto il proprio codice sorgente rilasciato come trojan ad accesso remoto gratuito (RAT) sui forum di hacking sotterranei a seguito di un'asta fallita che ha richiesto $ 100.000 per lo sviluppatore.
ThreatFabric ha anche evidenziato la cessazione di nuovi campioni BlackRock dall'emergere di ERMAC, sollevando la possibilità che "DukeEugene sia passato dall'utilizzo di BlackRock nelle sue operazioni a ERMAC". Oltre a condividere somiglianze con Cerberus, il ceppo appena scoperto è noto per l'uso di tecniche di offuscamento e dello schema di crittografia Blowfish per comunicare con il server di comando e controllo.
ERMAC, come il suo capostipite e altri malware bancari , è progettato per rubare informazioni di contatto, messaggi di testo, aprire applicazioni arbitrarie e attivare attacchi di overlay contro una moltitudine di app finanziarie per strisciare le credenziali di accesso. Inoltre, ha sviluppato nuove funzionalità che consentono al software dannoso di cancellare la cache di un'applicazione specifica e rubare gli account memorizzati sul dispositivo.
"La storia di ERMAC mostra ancora una volta come le perdite di codice sorgente del malware possono portare non solo a una lenta evaporazione della famiglia di malware, ma anche a portare nuove minacce/attori nel panorama delle minacce", hanno affermato i ricercatori. "Sebbene manchi di alcune potenti funzionalità come RAT, rimane una minaccia per gli utenti del mobile banking e gli istituti finanziari di tutto il mondo".
Commenti
Posta un commento