Il team di Tinexta Cyber ha identificato una nuova variante di Copybara, che a partire dalla fine del 2023 ha iniziato a colpire utenti italiani utilizzando TTPs (Tactics, Techniques and Procedures) innovative per diffondere la minaccia. I ricercatori hanno tracciato l’evoluzione di questa minaccia, evidenziando come sia diventata particolarmente rilevante nel mondo Android in pochi anni.
Copybara è una variante di Brata, una famiglia di malware scoperta nel 2019 da Kaspersky. Brata si diffondeva tramite siti compromessi e sfruttava la vulnerabilità CVE-2019-3568 su WhatsApp per colpire utenti in Sud America. Una caratteristica distintiva di Brata è l’utilizzo del framework B4X/B4A, una versione moderna di Visual Basic che supporta molte piattaforme e può compilare applicazioni in modo nativo. Questa caratteristica è stata mantenuta in tutte le varianti.
Nella seconda metà del 2021 sono state scoperte due nuove varianti, chiamate AmexTroll e Copybara, che presentavano caratteristiche comuni con Brata, ma anche differenze in termini di codice, attori e TTPs. Nel 2022 è stata scoperta un’altra variante, denominata IRATA, che infettava utenti iraniani. La ricerca condotta dal team di Tinexta Cyber sulla nuova variante di Copybara scoperta nel 2024 ha evidenziato l’uso del protocollo MQTT per la comunicazione con il C2.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
“Il protocollo MQTT (Message Queueing Telemetry Transport), utilizzato prevalentemente per gli oggetti IoT (Internet of Things), si basa su un modello publish-subscribe, con una netta distinzione tra chi invia e chi riceve”, spiega Luigi Martire, Technical Leader – CERT di Tinexta Cyber. “Inoltre – continua l’esperto – i criminali utilizzano il phishing kit Mr.Robot per raccogliere credenziali e numeri di telefono tramite social engineering, nello specifico smishing/vishing. Si presentano come personale della banca per manipolare la vittima e convincerla a scaricare ed eseguire Copybara”.
Una volta eseguito, il malware richiede di essere abilitato come “servizio di accessibilità”. Le applicazioni abilitate a questo servizio possono essere eseguite in background e accedere a determinati eventi, come transizioni nell’interfaccia o clic su pulsanti. Sebbene legittimamente utilizzate per aiutare persone con disabilità, queste funzionalità vengono abusate per sviluppare malware per Android e raccogliere informazioni sulle vittime.
In questa campagna, sono stati osservati due differenti metodi di operare. Il primo è tramite phishing, con cui gli attori raccolgono informazioni sulla vittima, chiamano fingendosi personale della banca e manipolano la vittima a installare l’applicazione.
Il secondo metodo è meno diretto: la vittima riceve un messaggio che sembra legittimo, riguardo a un possibile problema di sicurezza, e viene invitata a contattare il numero riportato nel messaggio in caso di incongruenze.
Acquisendo informazioni su questo numero tramite vari siti che consentono di segnalarli, le statistiche riportano 60 ricerche nel mese di giugno e una chiamata confermata da una vittima.
“Il nostro recente studio sul malware Copybara ha rivelato un’evoluzione sofisticata nell’utilizzo di protocolli di comunicazione avanzati come il MQTT, segnalando una significativa mutazione nelle TTP (tattiche, tecniche e procedure) dei cyber criminali”, commenta Fabrizio Vacca, MSS Operations Director – Tinexta Cyber.
“Questo progresso mette in evidenza l’importanza di adattare continuamente le nostre strategie di difesa per fronteggiare minacce sempre più complesse e mirate. La scoperta è stata resa possibile grazie alla tecnologia avanzata e all’expertise di Tinexta Cyber. In particolare, l’applicativo SOC NDR “Defensyo”, progettato specificamente per le PMI, è stato fondamentale nell’intercettare queste minacce. Il SOC di Tinexta Cyber, supportato dall’appliance proprietaria, ha dimostrato una notevole efficacia nel rilevamento precoce del malware. Questo approccio, conforme agli standard NIS2, garantisce una protezione robusta e all’avanguardia per le imprese”, conclude Vacca.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Cybercrime
Vulnerabilità
Cyber Italia
Vulnerabilità