Cellik: malware che infetta le app sul Play Store

I ricercatori di iVerify hanno individuato un nuovo malware per Android, denominato Cellik, che consente ai cybercriminali di infettare le app presenti sul Google Play Store. Offre inoltre funzionalità di RAT (Remote Access Trojan), infostealer e spyware. Non è noto se viene rilavato e bloccato da Google Play Protect.

Descrizione di Cellik

Cellik viene distribuito con il modello MaaS (Malware-as-a-Service). Gli utilizzatori finali pagano un abbonamento di 150 o 200 dollari/mese oppure 900 dollari per sempre. La funzionalità più avanzata è quella che consente di infettare le app presenti sul Google Play Store.

I cybercriminali possono usare un pannello di controllo per effettuare la scansione dell’intero store e scegliere le app “bersaglio”. Viene quindi generato un pacchetto APK che nasconde il codice di Cellik. L’autore del malware afferma che la versione infetta dell’app non viene rilevata dalle protezioni del Play Store e quindi nemmeno da Play Protect. Non è tuttavia possibile confermare l’efficacia della funzionalità. Google non ha rilasciato nessun commento.

Cellik è un RAT, quindi permette l’accesso remoto al dispositivo Android. I cybercriminali possono vedere lo schermo, interagire con l’interfaccia, leggere le notifiche delle app, intercettare i codici OTP dell’autenticazione in due fattori e monitorare la posizione geografica.

Il malware consente inoltre l’accesso completo al file system. È quindi possibile copiare file infetti, cancellare dati e rubare informazioni sensibili che vengono inviate al server remoto in forma cifrata per evitare la rilevazione.

Cellik permette anche di attivare fotocamera e microfono. Un’altra funzionalità è denominata “hidden browser”. Sfruttando un browser invisibile, i cybercriminali effettuano i login ai siti web usando credenziali e cookie dell’utente. Possono inoltre intercettare i dati delle carte di credito.

Il malware infine consente di iniettare codice nelle app installate sul dispositivo per mostrare schermate di login fasulle sovrapposte a quelle reali e rubare le credenziali di login.