Il trojan per Android Spy.Banker ruba soldi dal conto Paypal

I ricercatori di ESET hanno scoperto un trojan per Android che si insinua all'interno dell'app ufficiale di Paypal per rubare soldi alla vittima, effettuando un pagamento direttamente all'indirizzo Paypal dell'hacker.

Il malware fa finta di essere un'innocua app per l'ottimizzazione della batteria dello smartphone, come ve ne sono tante, ma una volta lanciata chiude subito la schermata – come se fosse difettosa – e nasconde l'icona dal telefono. Per gli utenti meno esperti è come se l'app si fosse disinstallata da sola.

In realtà il trojan è ancora in esecuzione, cerca sul telefono la presenza dell'app ufficiale di Paypal e – se presente – mostra una schermata di alert chiedendo all'utente di aprirla. Una volta che l'utente ha lanciato l'app di Paypal, il malware mostra una schermata con un messaggio fuorviante che chiede all'utente di "abilitare le statistiche".

In realtà facendo clic su "ok" l'utente consente al trojan di operare sull'app di Paypal. Il malware prende così per pochi secondi il controllo dell'account Paypal dell'utente, inviando 1000 Euro all'indirizzo Paypal dell'hacker (la valuta dipende dall'ubicazione della vittima).

Tutta l'operazione dura a malapena 5 secondi, e non vi è modo per l'utente di fermare il processo. Da notare che poiché il malware prende il controllo dell'app di Paypal dopo che l'utente ha effettuato il login, questa truffa funziona anche se la protezione a due fattori è attiva.

Il ricercatore Lukas Stefanko ha pubblicato un video dove mostra tutta l'operazione. (https://www.youtube.com/watch?v=yn04eLoivX8).

L'attacco avviene ogni volta che l'utente apre l'app di Paypal, ciò significa che il furto potrebbe ripetersi più e più volte, fino a che l'utente non rimuove il trojan o non blocca il suo conto Paypal. Il furto fallisce solo se l'utente non ha abbastanza soldi sul suo conto e se non vi è alcuna carta di credito collegata. Ma vi è anche un'ulteriore funzione del trojan, che gli consente di rubare i dati della carta di credito dell'utente mostrando delle schermate in overlay per cinque applicazioni: Google Play, WhatsApp, Skype, Viber e Gmail. In questo caso attraverso le finte schermate il trojan ruba i dati della carta di credito che l'utente crede di stare inserendo all'interno delle suddette app, oppure i dati di login a Gmail. Simili schermate di overlay sono usate dal malware anche su diverse app bancarie per rubare le credenziali di accesso agli account di internet banking.

L'unica nota positiva è che questo particolare trojan non si trova sul marketplace ufficiale di Android, Google Play, ma su marketplace di terze parti. I ricercatori ESET tuttavia hanno trovato un altro trojan su Google Play (ora rimosso) che operava in maniera simile e prendeva di mira gli utenti brasiliani, insinuandosi all'interno di alcune app bancarie usate in Brasile.

Come proteggersi?

Bisogna adottare misure preventive e controlli ex-post.

Anzitutto limitarsi a installare app solo da Google Play, perché anche se il marketplace di Google non è estraneo ad app malevole, dopo che queste vengono segnalate generalmente sono rimosse in breve tempo. Nei marketplace di terze parti non sempre questo avviene. Inoltre sarebbe sempre bene controllare i voti e i commenti degli utenti, molte app malevole di solito hanno voti bassi e più di un utente commenta la presenza di truffe o di situazioni non esattamente pulite.

I controlli a posteriori vanno fatti su ogni transazione, sia di carta di credito, sia Paypal, credito telefonico o criptovalute, attivandosi immediatamente se si nota un'attività sospetta.

Infine è sempre consigliabile dotarsi di un prodotto antimalware anche per smartphone. ESET individua questi malware con i nomi Android/Spy.Banker.AJZ e Android/Spy.Banker.AKB.