Redazione RHC : 23 Luglio 2024 16:33
Il team di Tinexta Cyber ha identificato una nuova variante di Copybara, che a partire dalla fine del 2023 ha iniziato a colpire utenti italiani utilizzando TTPs (Tactics, Techniques and Procedures) innovative per diffondere la minaccia. I ricercatori hanno tracciato l’evoluzione di questa minaccia, evidenziando come sia diventata particolarmente rilevante nel mondo Android in pochi anni.
Copybara è una variante di Brata, una famiglia di malware scoperta nel 2019 da Kaspersky. Brata si diffondeva tramite siti compromessi e sfruttava la vulnerabilità CVE-2019-3568 su WhatsApp per colpire utenti in Sud America. Una caratteristica distintiva di Brata è l’utilizzo del framework B4X/B4A, una versione moderna di Visual Basic che supporta molte piattaforme e può compilare applicazioni in modo nativo. Questa caratteristica è stata mantenuta in tutte le varianti.
Nella seconda metà del 2021 sono state scoperte due nuove varianti, chiamate AmexTroll e Copybara, che presentavano caratteristiche comuni con Brata, ma anche differenze in termini di codice, attori e TTPs. Nel 2022 è stata scoperta un’altra variante, denominata IRATA, che infettava utenti iraniani. La ricerca condotta dal team di Tinexta Cyber sulla nuova variante di Copybara scoperta nel 2024 ha evidenziato l’uso del protocollo MQTT per la comunicazione con il C2.
Sei un Esperto di Formazione?
Entra anche tu nel Partner program! Accedi alla sezione riservata ai Creator sulla nostra Academy e scopri i vantaggi riservati ai membri del Partner program.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
“Il protocollo MQTT (Message Queueing Telemetry Transport), utilizzato prevalentemente per gli oggetti IoT (Internet of Things), si basa su un modello publish-subscribe, con una netta distinzione tra chi invia e chi riceve”, spiega Luigi Martire, Technical Leader – CERT di Tinexta Cyber. “Inoltre – continua l’esperto – i criminali utilizzano il phishing kit Mr.Robot per raccogliere credenziali e numeri di telefono tramite social engineering, nello specifico smishing/vishing. Si presentano come personale della banca per manipolare la vittima e convincerla a scaricare ed eseguire Copybara”.
Una volta eseguito, il malware richiede di essere abilitato come “servizio di accessibilità”. Le applicazioni abilitate a questo servizio possono essere eseguite in background e accedere a determinati eventi, come transizioni nell’interfaccia o clic su pulsanti. Sebbene legittimamente utilizzate per aiutare persone con disabilità, queste funzionalità vengono abusate per sviluppare malware per Android e raccogliere informazioni sulle vittime.
In questa campagna, sono stati osservati due differenti metodi di operare. Il primo è tramite phishing, con cui gli attori raccolgono informazioni sulla vittima, chiamano fingendosi personale della banca e manipolano la vittima a installare l’applicazione.
Il secondo metodo è meno diretto: la vittima riceve un messaggio che sembra legittimo, riguardo a un possibile problema di sicurezza, e viene invitata a contattare il numero riportato nel messaggio in caso di incongruenze.
Acquisendo informazioni su questo numero tramite vari siti che consentono di segnalarli, le statistiche riportano 60 ricerche nel mese di giugno e una chiamata confermata da una vittima.
“Il nostro recente studio sul malware Copybara ha rivelato un’evoluzione sofisticata nell’utilizzo di protocolli di comunicazione avanzati come il MQTT, segnalando una significativa mutazione nelle TTP (tattiche, tecniche e procedure) dei cyber criminali”, commenta Fabrizio Vacca, MSS Operations Director – Tinexta Cyber.
“Questo progresso mette in evidenza l’importanza di adattare continuamente le nostre strategie di difesa per fronteggiare minacce sempre più complesse e mirate. La scoperta è stata resa possibile grazie alla tecnologia avanzata e all’expertise di Tinexta Cyber. In particolare, l’applicativo SOC NDR “Defensyo”, progettato specificamente per le PMI, è stato fondamentale nell’intercettare queste minacce. Il SOC di Tinexta Cyber, supportato dall’appliance proprietaria, ha dimostrato una notevole efficacia nel rilevamento precoce del malware. Questo approccio, conforme agli standard NIS2, garantisce una protezione robusta e all’avanguardia per le imprese”, conclude Vacca.
RedazioneE’ giallo relativamente al presunto attacco informatico avvenuto tra le notte del 23 e il 24 giugno in Alto Adige: dalle prime ore di martedì, infatti, si sono registrati problemi diffusi ...
Clamoroso in Francia: smantellata una delle più grandi reti globali di cybercriminalità. Gli hacker di BreachForum erano… francesi. Le autorità francesi hanno sgominato una vasta...
È stata scoperta una pericolosa vulnerabilità nell’ultima versione del popolare editor di testo Notepad++ che consente a un aggressore di ottenere il controllo completo del ...
Gli sviluppatori del ransomware Qilin (da noi intervistati recentemente) hanno offerto ai loro partner l’aiuto e la consulenza di un team di avvocati, in modo da poter fare pressione sulle vitt...
Dopo il caso dei 568 endpoint di un’azienda italiana del settore macchinari industriali, un altro accesso compromesso relativo a una società italiana di ingegneria del software &...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
