StreamRat: malware Android in false app di streaming

I ricercatori di ThreatFabric hanno individuato un nuovo malware per Android che viene pubblicizzato su Facebook, Instagram e TikTok. StreamRat è un trojan bancario nascosto in false app per lo streaming gratuito che permette ai cybercriminali di accedere al dispositivo da remoto e rubare le credenziali di login ai conti bancari.

Controllo totale dello smartphone

La catena di infezione inizia con la pubblicazione di inserzioni su Facebook, Instagram e TikTok. I principali target dei cybercriminali sono gli utenti spagnoli. Viene infatti mostrata l’app StreamTV esp che permetterebbe l’accesso gratuito a film e serie TV. L’inserzione porta ad un sito dal quale è possibile scaricare l’app.

È un file APK, quindi vengono descritti i passi da seguire per l’installazione da fonti sconosciute (sideloading) e per consentire l’uso dei servizi di accessibilità. Al termine della procedura viene mostrata l’interfaccia di StreamTV. L’app è un dropper che scarica il payload finale.

Dopo l’avvio, StreamRat effettua la scansione del dispositivo per trovare le app bancarie installate. Invia quindi l’elenco al server C2 (command and control), dal quale scarica le interfacce che vengono sovrapposte (overlay) a quelle legittime per rubare le credenziali di login.

Prima di scaricare il payload finale, il dropper chiede il permesso di creare una connessione VPN per dirottare il traffico. Questa VPN viene però usata temporaneamente per bloccare l’eventuale scansione cloud di Google Play Protect o per ostacolare l’analisi del codice.

StreamRat permette inoltre lo streaming dello schermo e la cattura di screenshot tramite VNC e HVNC. Durante l’accesso remoto, l’utente vede una schermata nera o un falso aggiornamento software e non si accorge di nulla. I ricercatori evidenziano che si tratta di un malware piuttosto sofisticato, solitamente offerto con un modello MaaS (Malware-as-a-Service).