Attacco BRATA contro i clienti di una banca italiana

I ricercatori di Cleafy hanno scoperto diversi attacchi eseguiti principalmente contro i clienti di una grande banca italiana, sfruttando varie tecniche (ingegneria sociale, phishing, smishing) per accedere ai loro dispositivi e quindi ai conti correnti. Oltre ad effettuare transazioni fraudolente, i cybercriminali hanno utilizzato il trojan BRATA per raccogliere altre informazioni personali.

Malware per Android diffuso in Italia

I cosiddetti Android RAT (Remote Access Trojan) sono molti popolari tra i cybercriminali perché le attività fraudolente vengono eseguite direttamente dal dispositivo della vittima che la banca considera sicuro (certificato). I ricercatori di Cleafy hanno rilevato una campagna smishing (prima tra giugno e metà settembre, poi a metà ottobre) contro i clienti di una grande banca italiana (non è noto il nome).

Gli utenti hanno ricevuto un SMS contenente un link di un sito web. Il messaggio sembrava provenire dalla banca, quindi i clienti hanno scaricato un’app infetta (Sicurezza Dispositivo o AntiSPAM) dal suddetto sito. In alcuni casi, il link puntava ad una pagina di phishing (simile a quella della banca), in cui i malintenzionati chiedevano di inserire altri dati personali, come il codice fiscale e le domande di sicurezza.

Dopo il download dell’app, l’ignara vittima veniva contattata da un falso dipendente della banca per consigliare l’installazione. L’app ovviamente richiedeva una serie di permessi che consentivano di prendere il controllo del dispositivo. I cybercriminali potevano quindi effettuare le transazioni, utilizzando il codice inviato via SMS dalla banca per il login o la conferma dei pagamenti.

Cleafy ha scoperto altre “funzionalità” di BRATA. Il trojan bancario può registrare tutto ciò che viene mostrato sullo schermo, disinstallare le app (antivirus in particolare), nascondere la sua icona, modificare le impostazioni del sistema operativo, disattivare Google Play Protect, sbloccare il dispositivo (se l’utente usa PIN o pattern) e rimuovere se stesso per evitare la sua individuazione.