I ricercatori di sicurezza informatica ESET hanno scoperto app di messaggistica istantanea trojanizzate che distribuiscono malware clipper.
In pratica sarebbero emerse dozzine di falsi siti Web Telegram e WhatsApp che propinano agli utenti Windows e Android versioni delle relative app di messaggistica istantanea contenenti un tipo di malware che modifica il contenuto degli appunti.
Secondo l’analisi, questi clipper potrebbero abusare dei messaggi istantanei e carpire frasi di recupero dei crypto wallet riconoscendo il testo, sfruttando l’OCR, dagli screenshot rubati .
I Clipper
I clipper lo ricordiamo sono codici malevoli che possono alterare il contenuto degli appunti di un dispositivo. I clipper possono pertanto aiutare gli attaccanti a rubare, come in questo caso, criptovalute intercettando i dati degli appunti e sostituendo gli indirizzi con quelli dei wallet a cui possono accedere i criminali. Infatti gli utenti spesso copiano e incollano questi indirizzi tramite gli appunti invece di digitarli a causa della loro lunghezza in termini di stringhe di caratteri.
“Lo scopo principale dei clipper è intercettare le comunicazioni di messaggistica della vittima e sostituire qualsiasi indirizzo crypto wallet inviato e ricevuto con indirizzi appartenenti agli aggressori“, si legge nel rapporto Eset.
Modus operandi
In questa campagna, gli operatori malevoli prenderebbero di mira gli utenti di lingua cinese distribuendo il malware tramite annunci Google che attirano gli utenti su falsi canali YouTube, da dove vengono poi reindirizzati verso falsi siti Web di WhatsApp e Telegram.
I clipper per Android
Diversi sarebbero i tipi di clipper osservati da Eset basati su Android:
- Un tipo infetta i dispositivi, utilizzando l’OCR per trovare e rubare frasi di recupero. Per fare questo, le app sfruttano un legittimo plug-in Android di machine learning chiamato ML Kit.
- Un altro tipo monitora le conversazioni di Telegram per parole chiave relative alla criptovaluta, inviando il messaggio completo carpito ad un server remoto presidiato.
- Un altro riesce a cambiare l’indirizzo del wallet e rubare dati del dispositivo e dati di Telegram come contatti e messaggi.
I clipper per Windows
ESET avrebbe anche scoperto dei tipi di clipper per Windows tra i quali un tipo che riesce semplicemente a scambiare gli indirizzi wallet e altri che al posto di dirottare verso host infetti e rubare criptovalute, distribuiscono trojan di accesso remoto (RAT), in particolar modo GH0st RAT.
Verificare la legittimità delle fonti web
È di qualche giorno fa l’allerta della Polizia Postale sulla crescente diffusione di applicazioni malevole, spesso consigliate per ottimizzare il funzionamento dello smartphone, che in realtà provocano l’esecuzione di componenti malware.
Il consiglio sempre valido resta quello di verificare la legittimità delle fonti e le recensioni degli utenti.
Si ricorda inoltre che scaricare app e programmi “mod” è poco affidabile e il download di software pirata/crackato oltre che essere pratica illecita può mettere a serio rischio la sicurezza dei nostri dispositivi e la privacy dei nostri dati.
