Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Una nuova versione del malware Android chiamato Konfety è diventata ancora più sofisticata: gli specialisti di Zimperium zLabs hanno scoperto una variante migliorata che utilizza archivi ZIP non standard e codice crittografato caricato durante l’esecuzione. Queste tecniche consentono al malware di aggirare efficacemente gli strumenti di analisi automatica e di passare inosservato.
La caratteristica principale della versione aggiornata è un’ingegnosa modifica dell’archivio ZIP: il file APK ha un flag abilitato che fa sì che molti strumenti lo percepiscano erroneamente come crittografato. Alcune utility richiedono una password per decomprimerlo, mentre altre non riescono affatto ad analizzare la struttura del file.
Ulteriore confusione è causata dal metodo di compressione errato: AndroidManifest.xml dichiara di utilizzare BZIP, ma in realtà non viene eseguita alcuna compressione con questo metodo. Ciò causa una decompressione parziale o malfunzionamenti negli strumenti di analisi, complicando notevolmente il lavoro con i file infetti.
Nonostante la natura non standard del file ZIP, il sistema operativo Android gestisce questi casi senza problemi e installa correttamente l’app dannosa senza visualizzare alcun avviso. Al contrario, strumenti specializzati come APKTool e JADX potrebbero richiedere una password inesistente o semplicemente visualizzare un errore. Questo consente al malware di nascondersi in app apparentemente normali.
Inoltre, la nuova versione di Konfety utilizza il caricamento dinamico di codice eseguibile crittografato durante il funzionamento. Questo non è visibile in anticipo durante la scansione APK standard. All’interno dell’applicazione dannosa è presente un file DEX secondario, crittografato e nascosto nelle risorse. Viene caricato solo dopo l’avvio dell’applicazione, sostituendo i componenti mancanti dichiarati nel manifest, aumentando così i sospetti degli analisti più attenti.
Inoltre, il malware riutilizza meccanismi già noti di attacchi precedenti. In particolare, è nuovamente coinvolto il componente CaramelAds SDK, noto per il suo schema di frode pubblicitaria. Questo consente la visualizzazione occulta di annunci pubblicitari, l’installazione di moduli aggiuntivi e la comunicazione con server remoti all’insaputa dell’utente. Gli esperti sottolineano anche la coincidenza tra espressioni regolari e una finestra pop-up relativa ad un accordo utente, tutti elementi che indicano una continuità con gli attacchi precedenti.
Per camuffarsi, Konfety imita le app reali di Google Play copiandone i nomi dei pacchetti. Tuttavia, non ha alcuna funzionalità al suo interno e l’app stessa spesso nasconde il suo nome e la sua icona. All’avvio, all’utente viene chiesto di accettare un determinato accordo, dopodiché il browser si apre e viene reindirizzato a diversi siti. L’obiettivo finale è convincere la vittima a installare app indesiderate o ad accettare notifiche fastidiose.
Il rapporto elenca i segnali di infezione, nonché le tattiche e le tecniche della classificazione MITRE utilizzate in questa campagna. La nuova versione di Konfety mostra chiaramente come tecniche apparentemente semplici di manipolazione degli ZIP e di caricamento ritardato del codice possano bypassare con successo anche i sistemi di rilevamento delle minacce più avanzati.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/