Falsa app TVTap installa il nuovo malware Android RemControl

I ricercatori di Group-IB hanno individuato un nuovo malware per Android, denominato RemControl, che viene distribuito tramite una falsa app TVTap. È un trojan bancario, quindi lo scopo dei cybercriminali (probabilmente russi) è svuotare i conti correnti. Tra i paesi più colpiti c’è l’Italia.

Malvertising e falsa app per rubare le credenziali

RemControl è un MaaS (Malware-as-a-Service). Gli sviluppatori offrono il malware in abbonamento ai cybercriminali che effettuano gli attacchi. La relativa piattaforma è attiva da maggio, ma le prime tracce dell’infezione sono state scoperte a luglio. Per la distribuzione viene usata la tecnica del malvertising. Gli utenti cliccano sulle inserzioni pubblicitarie e finiscono su un sito simile al Google Play Store che ospita la falsa app TVTap.

L’app è molto popolare, in quanto permette di accedere gratuitamente a vari canali in streaming tramite IPTV. I ricercatori di Group-IB hanno pubblicato la versione italiana:

L’Italia è infatti uno dei paesi scelti dai cybercriminali in Europa. All’avvio viene mostrata una schermata di aggiornamento. Cliccando sul pulsante “Start install” viene avviata una VPN che blocca il traffico da Google Play Protect per impedire la rilevazione del malware.

Successivamente viene chiesto l’accesso ai servizi di accessibilità che, in pratica, consente di ottenere il controllo completo del dispositivo. RemControl cerca quindi le app bancarie installate e, quando l’utente ne apre una, visualizza una schermata in sovrapposizione (overlay) che permette di intercettare credenziali, PIN, codici, numeri e date di scadenza delle carte.

I cybercriminali possono inoltre vedere il contenuto dello schermo in tempo reale. RemControl permette anche di catturare screenshot, registrare input (keylogging) e bloccare i tentativi di rimozione (ad esempio tramite reset). Il consiglio è non scaricare file APK da fonti non affidabili e non approvare mai le richieste per i servizi di accessibilità.