App fasulla di Roja Directa installa malware Android

Gli esperti di ThreatFabric hanno individuato un nuovo malware Android, denominato Perseus, che permette ai cybercriminali di rubare diversi dati sensibili e prendere il controllo del dispositivo. Viene installato con false app per IPTV distribuite tramite store non ufficiali. Una di esse è Roja Directa TV. L’attuale campagna prende di mira soprattutto gli utenti in Turchia e Italia.

Descrizione di Perseus

Il codice di Perseus è derivato da quello di altri due noti malware (Phoenix e Cerberus). I ricercatori di ThreatFabric hanno individuato due versioni distinte scritte in inglese e turco. I bersagli principali dei cybercriminali sono gli utenti turchi e italiani. Il malware può catturare i testi premuti (keylogging) e mostrare una schermata di login simile a quella delle banche. Ciò consente quindi di rubare le credenziali di accesso ai conti correnti.

Perseus viene installato con app fasulle per IPTV distribuite all’esterno del Google Play Store. L’utente deve quindi concedere il permesso per l’installazione da fonti sconosciute (sideloading). Una delle app è Roja Directa TV, visibile nell’immagine.

Sfruttando i permessi di accessibilità, i cybercriminali possono prendere il controllo del dispositivo ed eseguire varie operazioni: cattura screenshot, esecuzione di comandi remoti, simulazione di gesture, attivazione dello schermo, avvio di app e visualizzazione di una schermata nera per nascondere le attività.

Una funzionalità esclusiva della versione inglese è quella che permette di accedere a popolari app di note-taking, tra cui Google Keep, Xiaomi Notes, Samsung Notes, ColorNote, Evernote, Microsoft OneNote e Simple Notes. Lo scopo dei cybercriminali è cercare informazioni sensibili scritte dagli utenti, come password, seed phrase e dati finanziari.

Perseus sfrutta inoltre una serie di tecniche per evitare la rilevazione da parte dei tool di analisi. Il consiglio è installare le app solo dal Play Store ed effettuare regolarmente una scansione antivirus. La funzionalità Play Protect di Android può rilevare e bloccare anche i malware nascosti in app installate tramite sideloading (file APK).