SpyNote colpisce ancora: malware Android distribuito via WhatsApp nell’Asia meridionale

CYFIRMA ha analizzato un’applicazione Android dannosa progettata per attaccare risorse nell’Asia meridionale. L’esempio è stato creato utilizzando lo strumento di amministrazione remota SpyNote. Si presume che l’obiettivo possa essere oggetto di interesse per un gruppo APT. I dettagli sulle vittime e sulle regioni specifiche non sono stati divulgati.

Si è scoperto che l’applicazione dannosa veniva distribuita tramite WhatsApp. Alla vittima sono state inviate quattro versioni del file denominate “Best Friend”, “Best-Friend 1”, “Friend” e “best”. Tutte le applicazioni avevano un server di gestione. I programmi venivano installati segretamente e cominciavano a funzionare in background utilizzando l’offuscamento del codice.

SpyNote utilizza una serie di autorizzazioni per accedere ai dati chiave del dispositivo: geolocalizzazione, contatti, SMS, memoria del dispositivo e fotocamera. L’applicazione può anche intercettare chiamate, raccogliere dati di sistema e persino utilizzare funzionalità speciali del sistema per monitorare lo schermo e inserire testo.

Il codice dannoso mirava a raccogliere dati come numero IMEI, carta SIM, versione di Android e tipo di rete. I dati ricevuti sono stati immediatamente inviati al server di controllo. Inoltre, l’applicazione ha acquisito screenshot e copiato i dati utente come contatti, messaggi e foto.

SpyNote e le sue modifiche, tra cui SpyMax e Crax RAT, vengono utilizzate attivamente da hacker e gruppi APT come OilRig (APT34) e APT-C-37. Questi strumenti aiutano gli aggressori a spiare le comunicazioni, rubare dati e mantenere l’accesso ai sistemi delle vittime.

Gli incidenti di SpyNote hanno già colpito agenzie governative, ONG, media e istituzioni finanziarie. Il caso attuale indica il probabile coinvolgimento di un gruppo APT sconosciuto o di un altro attore criminale informatico.

SpyNote rimane una seria minaccia a causa della sua disponibilità sui forum clandestini e sui canali Telegram. Gli attacchi che utilizzano questo strumento confermano la preferenza degli aggressori per strumenti comprovati e potenti per compromettere obiettivi di alto profilo.

Marcello Filacchioni

ICT CISO e Cyber Security Manager con oltre vent’anni di esperienza tra settore pubblico e privato, ha guidato progetti di sicurezza informatica per realtà di primo piano. Specializzato in risk management, governance e trasformazione digitale, ha collaborato con vendor internazionali e startup innovative, contribuendo all’introduzione di soluzioni di cybersecurity avanzate. Possiede numerose certificazioni (CISM, CRISC, CISA, PMP, ITIL, CEH, Cisco, Microsoft, VMware) e svolge attività di docenza pro bono in ambito Cyber Security, unendo passione per l’innovazione tecnologica e impegno nella diffusione della cultura della sicurezza digitale.

Aree di competenza: Cyber Security Strategy & Governance, Vulnerability Management & Security Operations.