La nuova versione del malware bancario Crocodilus ha un meccanismo che aggiunge un contatto falso al dispositivo infetto. Questo gli permette di ingannare le vittime quando ricevono chiamate dagli aggressori.
Il Crocodilus Banker è stato scoperto per la prima volta dai ricercatori di Threat Fabric alla fine di marzo 2025. All’epoca, gli esperti avevano riferito che il malware costringeva gli utenti a fornire frasi seed per i wallet di criptovalute (presumibilmente per creare una copia di backup) e aveva anche la capacità di intercettare il controllo del dispositivo, raccogliere dati e controllarlo da remoto.
In primavera, Crocodilus ha attaccato utenti provenienti da Turchia e Spagna, ma ora la situazione è cambiata. Threat Fabric, che continua a monitorare l’attività del malware, afferma che Crocodilus ha già esteso i suoi attacchi a tutti i continenti.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Le versioni più recenti del malware hanno migliorato la loro capacità di elusione impacchettando il codice nel componente dropper e aggiungendo un ulteriore livello di crittografia XOR al payload. Gli analisti hanno anche notato che il codice del malware è stato offuscato e reso più complesso, rendendone più difficile il reverse engineering.
Un’altra innovazione è un sistema che consente di analizzare i dati rubati alla vittima a livello locale, sul dispositivo infetto stesso, prima di inviarli agli aggressori per un esame più approfondito. La caratteristica più notevole dell’ultima versione di Crocodilus è la possibilità di aggiungere contatti falsi al dispositivo della vittima. In questo caso, quando si riceve una chiamata, verrà visualizzato il nome specificato nel profilo del contatto, anziché il suo ID. Questo trucco consente agli aggressori di impersonare banche, aziende o persino amici e familiari noti dell’utente.
L’aggiunta di nuovi contatti avviene eseguendo uno speciale comando che utilizza l’API ContentProvider per creare un nuovo contatto locale sul dispositivo. “Dopo aver ricevuto il comando TRU9MMRHBCRO, Crocodilus aggiunge il contatto specificato alla rubrica della vittima. Questo aumenta ulteriormente il controllo dell’attaccante sul dispositivo infetto. Riteniamo che l’obiettivo sia quello di aggiungere un numero con un nome convincente come “Assistenza bancaria”, in modo da poter chiamare la vittima senza destare sospetti”, scrivono i ricercatori.
Tuttavia, il contatto falso non è collegato a un account Google, quindi non verrà sincronizzato con altri dispositivi. I ricercatori avvertono che il Crocodilus si sta evolvendo rapidamente e si sta chiaramente muovendo in una direzione legata all’ingegneria sociale, il che lo rende particolarmente pericoloso.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Cybercrime
Cyberpolitica
Cybercrime
Cybercrime
Cybercrime