Una nuova MaaS fa capolino. E’ Brokewell: Il malware che colpisce con falsi aggiornamenti di Chrome

I ricercatori hanno scoperto un nuovo trojan bancario Brokewell. Il malware si maschera da falsi aggiornamenti per Chrome ed è in grado di intercettare qualsiasi evento avvenga sul dispositivo, dai clic e le informazioni visualizzate sullo schermo al testo inserito e alle applicazioni avviate dall’utente.

ThreatFabric si è imbattuto in Brokewell dopo aver scoperto una falsa pagina di aggiornamento di Chrome che conteneva il payload del malware.

Dopo aver studiato le campagne precedenti, i ricercatori hanno concluso che Brokewell si era precedentemente mascherato da servizi “acquista ora, paga dopo”, nonché dall’applicazione di autenticazione digitale austriaca ID Austria.

Le principali funzionalità di Brokewell, che è ancora in fase di sviluppo attivo, sono incentrate sul furto di dati e sulla fornitura agli aggressori del controllo remoto di un dispositivo infetto. Pertanto, Brokewell dispone di tutte le funzionalità standard dei trojan bancari e fornisce anche accesso remoto agli aggressori.

E’ quindi in grado di

• utilizzare overlay, ovvero imitare pagine di accesso per applicazioni target (al fine di rubare credenziali);
• utilizzare il proprio WebView per intercettare e recuperare i cookie dopo che un utente accede a un sito legittimo;
• Intercettare qualsiasi azione della vittima, inclusi clic, scorrimento e digitazione, al fine di rubare dati sensibili visualizzati o immessi sul dispositivo;
• raccogliere informazioni sull’hardware e sul software del dispositivo;
• recuperare i registri delle chiamate;
• determinare la posizione fisica del dispositivo;
• catturare l’audio utilizzando il microfono del dispositivo;
• fornire a un utente malintenzionato l’opportunità di vedere lo schermo del dispositivo in tempo reale;
• eseguire da remoto vari gesti (tocchi e passaggi);
• fare clic da remoto su elementi o coordinate specificati sullo schermo;
• simulare lo scorrimento e inserire il testo nei campi specificati;
• simulare la pressione di pulsanti fisici come Indietro, Home e App recenti;
• attivare da remoto lo schermo del dispositivo per rendere qualsiasi informazione disponibile per l’acquisizione;
• Regolare le impostazioni come luminosità e volume.

Secondo ThreatFabric, lo sviluppatore di Brokewell è un hacker criminale con il soprannome di Baron Samedit, che da almeno due anni vende strumenti per il controllo di conti rubati.

Va inoltre notato che lo studio ha rivelato un altro strumento chiamato Brokewell Android Loader, anch’esso creato da questo autore. Lo strumento era ospitato su uno dei server di controllo di Brokewell. In particolare, questo downloader è in grado di aggirare le restrizioni introdotte da Google in Android 13 e versioni successive del sistema operativo per combattere l’abuso del servizio di accessibilità da parte degli APK caricati al di fuori del Google Play Store.

Gli esperti concludono che molto probabilmente Brokewell verrà finalizzato e nel prossimo futuro inizierà a essere venduto ad altri criminali sulla darknet secondo lo schema Malware-as-a-Service (MaaS).

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Marcello Filacchioni

ICT CISO e Cyber Security Manager con oltre vent’anni di esperienza tra settore pubblico e privato, ha guidato progetti di sicurezza informatica per realtà di primo piano. Specializzato in risk management, governance e trasformazione digitale, ha collaborato con vendor internazionali e startup innovative, contribuendo all’introduzione di soluzioni di cybersecurity avanzate. Possiede numerose certificazioni (CISM, CRISC, CISA, PMP, ITIL, CEH, Cisco, Microsoft, VMware) e svolge attività di docenza pro bono in ambito Cyber Security, unendo passione per l’innovazione tecnologica e impegno nella diffusione della cultura della sicurezza digitale.

Aree di competenza: Cyber Security Strategy & Governance, Vulnerability Management & Security Operations.