Herodotus: nuovo malware Android che imita gli umani

I ricercatori di ThreatFabric hanno individuato un nuovo malware Android, denominato Herodotus. Può aggirare la rilevazione da parte delle soluzioni di sicurezza attraverso l’imitazione del comportamento umano, ovvero il modo in cui avviene l’interazione con il dispositivo. I bersagli dell’attuale campagna sono principalmente gli utenti italiani e brasiliani.

Descrizione di Herodotus

Secondo gli esperti di ThreatFabric, Herodotus è stato sviluppato dagli stessi autori di Brokewell, in quanto condividono la stessa infrastruttura MaaS (Malware-as-a-Service). Si tratta di un trojan bancario che viene distribuito tramite sideloading (quindi all’esterno del Play Store), quando l’ignara vittima tocca il link presente in un SMS (smishing).

Il link punta ad un dropper che installa Herodotus. In Italia utilizza il nome Banca Sicura. All’avvio chiede all’utente di utilizzare i permessi di accessibilità e mostra una falsa schermata di caricamento per nascondere le operazioni in background. Dopo aver inviato al server remoto l’elenco delle app installate riceve l’elenco di quelle da colpire. Quando l’utente apre una delle app viene mostrata una falsa schermata di login che permette di rubare le credenziali.

Grazie ai permessi di accessibilità, i cybercriminali possono usare Herodotus per controllare il dispositivo da remoto attraverso tap, swipe e input di testo. Queste azioni sono automatizzate e quindi eseguite ad una velocità maggiore di quella umana. Per evitare la rilevazione da parte delle soluzioni di sicurezza, Herodotus imita la lentezza umana.

Gli input testuali, ad esempio, avvengono con un ritardo casuale compreso tra 0,3 e 3 secondi. Sono inoltre aggiunte pause tra le operazioni per simulare il ritardo di caricamento dell’interfaccia (soprattutto sui dispositivi più vecchi).

Oltre a quelle di trojan bancario, Herodotus offre funzionalità di infostealer. Può registrare il contenuto dello schermo e i tasti premuti, leggere gli SMS e intercettare i codici 2FA (autenticazione in due fattori). Il malware è ancora in sviluppo, quindi verranno sicuramente aggiunte altre funzionalità.