Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Banner Desktop V1
320x100 Itcentric
Italiani, fate attenzione a MailBot. Non scaricate APP da siti di terze parti

Italiani, fate attenzione a MailBot. Non scaricate APP da siti di terze parti

Redazione RHC : 26 Giugno 2022 09:50

Durante il monitoraggio del trojan di mobile banking FluBot, F5 Labs ha recentemente scoperto un nuovo ceppo di malware Android che è stato soprannominato “MaliBot“. 

Sebbene i suoi obiettivi principali siano i clienti di servizi bancari online in Spagna e in Italia, la sua capacità di rubare credenziali, cookie e aggirare i codici di autenticazione a più fattori (MFA), significa che gli utenti Android di tutto il mondo devono essere vigili. 

Overlay dell’App di Unicredit (Fonte F5)

Alcune delle caratteristiche chiave di MaliBot includono:

  • MaliBot si traveste da app di mining di criptovalute denominata “Mining X” o “The CryptoApp” e occasionalmente assume altre forme, come “MySocialSecurity” e “Chrome”;
  • MaliBot si concentra sul furto di informazioni finanziarie, credenziali, portafogli crittografici e dati personali (PII) e prende di mira anche le istituzioni finanziarie in Italia e Spagna;
  • Malibot è in grado di rubare e bypassare codici multifattoriali (2FA/MFA);
  • Include la possibilità di controllare in remoto i dispositivi infetti utilizzando un’implementazione del server VNC.

RHC0002 CTIP Corso Dark Web Cyber Threat Intelligence

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?

Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence". 
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.  
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile. 
Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com
Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected]


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

La distribuzione di MaliBot viene eseguita attirando le vittime su siti Web fraudolenti in cui vengono indotte a scaricare il malware o inviando direttamente messaggi di phishing SMS (smishing) a numeri di cellulare.

Risposta contenente i comandi di injection/overlay (Fonte F5)

Il server di comando e controllo (C2) di MaliBot si trova in Russia e sembra utilizzare gli stessi server utilizzati per distribuire il malware Sality. 

Molte campagne hanno avuto origine da questo IP dal giugno del 2020. È una rielaborazione pesantemente modificata del malware SOVA, con diverse funzionalità, target, server C2, domini e schemi di compressione.

Una volta installato il malware, questo ha diverse funzionalità che portano alla totale compromissione del dispositivo e più nello specifico consente:

  • Attacchi Web injection/overlay
  • Furto di portafogli di criptovaluta (Binance, Trust)
  • Furto di codici MFA/2FA
  • Furto di cookie di sessione
  • Furto di messaggi SMS
  • La possibilità di bypassare l’autenticazione a due fattori di Google
  • Accesso VNC al dispositivo e cattura dello schermo
  • La possibilità di eseguire ed eliminare applicazioni su richiesta
  • La possibilità di inviare messaggi SMS su richiesta
  • Raccolta di informazioni dal dispositivo, inclusi IP, AndroidID, modello, lingua, elenco delle applicazioni installate, schermo e stati di blocco e segnalazione delle capacità del malware
  • Ampia registrazione di eventuali operazioni riuscite o fallite, attività telefoniche (chiamate, SMS) ed eventuali errori

Gli autori del malware hanno finora creato due campagne, “Mining X” e “TheCryptoApp”, ognuna delle quali ha un sito Web con un collegamento per il download del malware.

Per aggirare le protezioni MFA, abusa dell’API di accessibilità per fare clic sulle richieste di conferma degli avvisi in arrivo sui tentativi di accesso sospetti, invia l’OTP al C2 e lo inserisce automaticamente quando richiesto.

Inoltre, il malware può rubare i codici MFA da Google Authenticator ed eseguire questa azione su richiesta, aprendo l’app di autenticazione senza alcuna interazione da parte dell’utente. Come qualunque altro banking trojan, anche MailBot può rilevare quali app di banking sono installate nel dispositivo e di conseguenza eseguire il payload corrispondente e fornire all’utente una schermata di login fake che punta proprio al furto delle credenziali d’accesso per conti bancari o anche wallet di criptovalute.

Anche MailBot sfrutta potenti strumenti di evasione per eludere i sistemi di analisi e quindi insidiarsi nei device senza che venga rilevata alcuna attività anomala.

Per quanto questo malware possa risultare particolarmente pericoloso, il modo per proteggersi si affida essenzialmente al buon senso dell’utente, che dovrebbe evitare tassativamente di scaricare app da siti web non attendibili e sfruttare dunque lo store ufficiale di Google.

Immagine del sitoRedazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Immagine del sito
Tra AI e paura Skynet insegna: “Costruiremo dei bunker prima di lanciare l’AGI”
Di Redazione RHC - 12/10/2025

La frase “Costruiremo sicuramente un bunker prima di lanciare l’AGI” dal quale prende spunto l’articolo, è stata attribuita a uno dei leader della Silicon Valley, anche se non è chiaro a chi...

Immagine del sito
Servizi RDP esposti nel mirino! Una botnet di 100.000 IP scandaglia la rete
Di Redazione RHC - 11/10/2025

Negli Stati Uniti, una vasta campagna coordinata tramite botnet sta prendendo di mira i servizi basati sul protocollo Remote Desktop Protocol (RDP). Un pericolo notevole è rappresentato dalla scala e...

Immagine del sito
Lombardia nel mirino! Attenzione ai messaggi di phishing averte la Polizia Postale
Di Redazione RHC - 11/10/2025

Un’ondata di messaggi di phishing sta colpendo in questi giorni numerosi cittadini lombardi. Le email, apparentemente inviate da una società di recupero crediti, fanno riferimento a presunti mancat...

Immagine del sito
Zero-Day in Oracle E-Business Suite sotto attacco: Clop Sfrutta il CVE-2025-61882
Di Redazione RHC - 10/10/2025

La scorsa settimana, Oracle ha avvisato i clienti di una vulnerabilità zero-day critica nella sua E-Business Suite (CVE-2025-61882), che consente l’esecuzione remota di codice arbitrario senza aute...

Immagine del sito
Gli hacker etici italiani primi sul podio all’European Cybersecurity Challenge 2025
Di Redazione RHC - 09/10/2025

Dal 6 al 9 ottobre 2025, Varsavia è stata teatro della 11ª edizione della European Cybersecurity Challenge (ECSC). In un confronto serrato tra 39 team provenienti da Stati membri UE, Paesi EFTA, can...