Brata colpisce anche in Italia: è il pericoloso trojan bancario che resetta il telefono

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...no_104320.html

Una vecchia conoscenza che risale al 2019 torna ora con nuove funzionalità più avanzate e prende di mira anche gli utenti di conti bancari italiani: attenzione ai messaggi SMS che sembrano arrivare dalla banca

Click sul link per visualizzare la notizia.

[Saturn]

Mi rivolgo ai delinquenti che creano queste porcherie...

Mandate, anzi, continuate pure a mandarmi questi sms farlocchi...non smettete...che mi diverto troppo !

...app non ne scarico ovviamente...ma mi diverto troppo A COMPILARE con INSULTI PESANTI tutti i vostri campi nei vostri finti siti web acchiappa ingenui o inesperti, tramite tor e virtual machine linux !

Non ve lo posso scrivere qui...ma sapete i trojan dove dovreste metterveli ? Eh...ci siamo capiti...andate a lavorare...con le abilità che avete vi fa tanto schifo un lavoro onesto ?

[robweb2]

Ovviamente tutte queste cose, per funzionare, necessitano che, dall'altra parte, ci sia l'imbecille di turno, che nemmeno contralla la fonte del SMS, e apre il link proposto inserendo pure i dati.

[randorama]

Originariamente inviato da Saturn

...app non ne scarico ovviamente...ma mi diverto troppo A COMPILARE con INSULTI PESANTI tutti i vostri campi nei vostri finti siti web acchiappa ingenui o

sei una brutta persona.

mi vuoi privare dell'esclusiva di un mio puerile divertimento.
mi toccherà alzare il livello degli insulti....

[gd350turbo]

Allora vedo che siamo in tanti ad insultare costoro...

[gd350turbo]

Originariamente inviato da robweb2

Ovviamente tutte queste cose, per funzionare, necessitano che, dall'altra parte, ci sia l'imbecille di turno, che nemmeno contralla la fonte del SMS, e apre il link proposto inserendo pure i dati.

Una mia collega ci credette, appunto con banca intesa, e gli sparirono 6000 euro...
Ora ha imparato alla perfezione cosa è il phising, potrebbe persino tenere dei corsi per insegnarlo !

[igiolo]

Originariamente inviato da gd350turbo

Una mia collega ci credette, appunto con banca intesa, e gli sparirono 6000 euro...
Ora ha imparato alla perfezione cosa è il phising, potrebbe persino tenere dei corsi per insegnarlo !

ce credo...corso RAPIDISSIMO ha fatto

[Saturn]

Vi quoto tutti !

[RRR1]

Tipo questo arrivato stamattina ?

[Saturn]

Originariamente inviato da RRR1

Tipo questo arrivato stamattina ?

Si arrivano anche a me così....PORACCI...vedi sopra...una VAGONATA di insulti verso loro e chi non ha usato le dovute protezioni quando è divertito e li hanno concepiti...

[Sandro kensan]

Mi pare di capire che l'SMS con il numero della propria banca come mittente arriva e consiglia di scaricare una app. Tramite questa app i malviventi riesco a fare bonifici a nome del possessore del telefonino. Poi sempre tramite questa app riescono pure a resettare a livello di fabbrico il cellulare.

Inoltre si dice nell'articolo che un metodo alternativo usato nelle precedenti versioni del malware era quello di infettare app dal Playstore in modo tale che l'utente scarichi una app che fa certe funzioni ma poi in aggiunta ha anche le funzioni del malware. È ormai storia che un metodo alternativo di infezione dei dispositivi è quello di acquistare a caro prezzo app molto diffuse per poi passare ad aggiornarle opportunamente includendo il loro malware. Le spese di acquisto dell'app vengono più che compensate con la ricchezza dei conti correnti di chi li ha nei cellulari, ricchezza esfiltrata tramite bonifici.

Inoltre pare una volta di più evidente che basta una app sul dispositivo per fare bonifici con buona pace della doppia autenticazione, impronta digitale, riconoscimento facciale e amenità varie.

Questo si evince anche da questo articolo.

[TheFanDance]

Sarò un dinosauro, ma secondo me erano molto più sicure le chiavine otp rispetto all'autenticazione tramite app.

[Sandro kensan]

Originariamente inviato da TheFanDance

Sarò un dinosauro, ma secondo me erano molto più sicure le chiavine otp rispetto all'autenticazione tramite app.

Ecco questo è il punto.

Il telefonino non può avere l'autenticazione a due fattori in quanto è un unico dispositivo fisico e anche software per cui è sempre una unica autenticazione. Ne consegue che una volta che "ti" hanno installato una app ti possono svuotare il conto in banca se hai il conto sul cellulare.

Io non ho attivato la app della mia banca sul mio Huawei P40 lite e mantengo la versione web (che posso sfruttare sia da cellulare che da Computer) con la "vera" doppi autenticazione fatta col token fisico.

Poi la mia banca richiede per i bonifici con nuovo destinatario pure un SMS da cui ne viene fuori che i dispositivi fisici coinvolti sono 3: PC, Cell e Token.

[gd350turbo]

Originariamente inviato da Sandro kensan

Ecco questo è il punto.

Il telefonino non può avere l'autenticazione a due fattori in quanto è un unico dispositivo fisico e anche software per cui è sempre una unica autenticazione. Ne consegue che una volta che "ti" hanno installato una app ti possono svuotare il conto in banca se hai il conto sul cellulare.

Se gli dai tutte le autorizzazioni che chiede, forse può essere...
Se provo a dare ad un app la possibilità di leggere sms/notifiche, il mio telefono mi avvisa che questa è cosa molto pericolosa e mi chiede due volte se sono sicuro di farla !
Senza questa, l'app malware non lo può fare.

[Sandro kensan]

Originariamente inviato da gd350turbo

Se gli dai tutte le autorizzazioni che chiede, forse può essere...
Se provo a dare ad un app la possibilità di leggere sms/notifiche, il mio telefono mi avvisa che questa è cosa molto pericolosa e mi chiede due volte se sono sicuro di farla !
Senza questa, l'app malware non lo può fare.

Ci sono diversi punti deboli nel tuo ragionamento. Non si tratta di app malevola ma di app che magari già ben conosci e che è passata di mano: tu ti informi nel tempo su chi acquista e vende le app che hai installato? io no. Che autorizzazioni ha l'app che i malviventi hanno acquistato per aggioranerla con il loro malware? Io non ti so dire, dipende dall'acquisto che hanno intenzione di fare. Poi il fatto che possa chiedere un permesso in più non è facile capire se lo fa perché ha aggiunto nuove funzionalità (che magari a me non interessano) o perché è passata di mano.

Un altro punto debole è che io nel mio PC ricevo almeno una volta alla settimana (ma a volte di più) un aggiornamento che quasi sempre è un bugfix con pericolosità variabile. Già questo fa capire che un cellulare non aggiornato oppure aggiornato due volte all'anno è parecchio esposto. Quindi è esagerato dire che senza una autorizzazione un programma presente all'interno del proprio PC o del proprio Smartphone (che è lo stesso) e che ha i diritti utente non possa eseguire quello che non gli è teoricamente permesso.

Terzo punto è che gli exploit si possono acquistare, questo non è possibile se non ci sono soldi che girano ma qui si parla di conti correnti con bonifici da migliaia di euro e quindi gli acquisti si possono fare con i soldi che hanno dentro i cellulari gli italiani.

[gd350turbo]

Originariamente inviato da Sandro kensan

Ci sono diversi punti deboli nel tuo ragionamento. Non si tratta di app malevola ma di app che magari già ben conosci e che è passata di mano: tu ti informi nel tempo su chi acquista e vende le app che hai installato? io no. Che autorizzazioni ha l'app che i malviventi hanno acquistato per aggioranerla con il loro malware? Io non ti so dire, dipende dall'acquisto che hanno intenzione di fare. Poi il fatto che possa chiedere un permesso in più non è facile capire se lo fa perché ha aggiunto nuove funzionalità (che magari a me non interessano) o perché è passata di mano.

mi sembra un eventualità alquanto rara...
e comunque se un app prima non chiede nulla poi vuole leggere le notifiche sms, qualche domanda me la faccio...

Originariamente inviato da Sandro kensan

Un altro punto debole è che io nel mio PC ricevo almeno una volta alla settimana (ma a volte di più) un aggiornamento che quasi sempre è un bugfix con pericolosità variabile. Già questo fa capire che un cellulare non aggiornato oppure aggiornato due volte all'anno è parecchio esposto. Quindi è esagerato dire che senza una autorizzazione un programma presente all'interno del proprio PC o del proprio Smartphone (che è lo stesso) e che ha i diritti utente non possa eseguire quello che non gli è teoricamente permesso.

vero, ma il problema al 99% dei casi non è colpa del telefono/pc non aggiornato...
La colpa è di chi ci mette le mani sopra !
Cerca un pò in giro, vedrai che ci sono una marea di sgallettate che piangono perchè gli hanno rubato i video sozzi che si sono fatti con l'iphone che mi risulta essere uno dei più aggiornati, però magari come password ci mettono 1234, quindi puoi avere il telefono con aggiornamenti in tempo reale, ma se sei pirla lo rimani !
Altresì gli smartphone esistono da più di 10 anni, in questi dieci anni, non ho mai avuto notizie di furti di dati, hackeraggi, e simili in massa, qualche caso sparuto dovuto al pirla che striscia le dita sullo schermo o che abbocca al phising.

Originariamente inviato da Sandro kensan

Terzo punto è che gli exploit si possono acquistare, questo non è possibile se non ci sono soldi che girano ma qui si parla di conti correnti con bonifici da migliaia di euro e quindi gli acquisti si possono fare con i soldi che hanno dentro i cellulari gli italiani.

ah bè sul dark web puoi acquistare ogni genere di cosa / servizio illegale, quindi ci stanno anche questi, ma dipende se il gioco vale la candela e finora mi pare di no...

[piwi]

Originariamente inviato da RRR1

Tipo questo arrivato stamattina ?

Arrivato con "BANCAMPS".

[C3r3al]

Originariamente inviato da Saturn

Mi rivolgo ai delinquenti che creano queste porcherie...
Eh...ci siamo capiti...andate a lavorare...con le abilità che avete vi fa tanto schifo un lavoro onesto ?

Mah guarda, credo che per la stragrande totalità in questi ultimi 10 anni, la differenza la faccia un lavoro nel loro paese a 200 euro al mese e fare le truffe a 20.000 euro al mese. E se li prendono? Impunità totale se le truffe sono fatte verso un paese straniero.
Poi anche se è impossibile, tu ne becchi uno, buona fortuna a farlo venire a processo qui a Oleg dalla Russia o a Kasimir dalla Romania (giusto per fare un esempio in Eu ed uno fuori Eu).

I governi della maggior parte dei paesi poveri europei e non, sono completamente CONNIVENTI su questa cosa.

Ma di cosa stiamo parlando?
Non ce ne libereremo MAI più.

[Sandro kensan]

Originariamente inviato da Svelgen

Se le hanno dismesse, vuol dire che non garantivano lo stesso livello di sicurezza che ti garantisce la notifica push su smartphone.
D'altronde, lo smartphone lo hai sempre con te ed è protetto da sistemi biometrici. Quindi arriva la notifica, devi sbloccare il telefono e solo dopo puoi dare la conferma.
Una chiavetta OTP invece ci premi il pulsante e hai il tuo bel codice. Mi sembra che ci siano tutti i presupposti per preferire una notifica su un dispositivo che, anche se perdi, non può essere usato da nessuno.

Io avevo molti anni fa una "calcolatrice" di bancoposta, ti posso dire che funzionava con il bancomat e occorreva inserire il pin del bancomat.

Adesso ho un Token fisico che ho richiesto espressamente alla banca e che la banca mi fa pagare 10 euro. Inoltre l'ho "rinnovato" in quanto si sono scaricate le batterie con altri 10 euro di costo. La mia banca non è contenta e in generale le banche non sono contente se non usi la loro app.

Col mio Token devo inserire un pin altrimenti non mi da l'OTP. Quindi se perdo il token non ci sono problemi se non quelli classici, il token non è immediatamente craccabile se non da un esperto.

Originariamente inviato da Svelgen

Quoto in toto.
Io non fare mai home banking con uno smartphone Android.
Quando escono gli aggiornamenti, c'è sempre l'elenco dei dispositivi che verranno aggiornati: alcuni spesso non superano i 2 anni di garanzia del produttore. Figuriamoci quanto sono sicuri...

Concordiamo.

[gd350turbo]

Ah be' quello anch'io, sono dei colabrodi di sicurezza...