Attenzione a Ghimob, trojan che spia fino a 153 app su Android

I ricercatori di sicurezza Kaspersky hanno individuato un nuovo malware per Android con funzionalità di accesso remoto e capace di sottrarre informazioni sensibili da svariate applicazioni: si tratta di Ghimob, un trojan prevalentemente bancario e che parrebbe sviluppato dalla stessa mano che ha animato il malware Astaroth per Windows.

Ghimob non è mai stato distribuito tramite il Play Store: la sua diffusione è avvenuta tramite campagne di phishing che conducono a siti web contraffatti, utilizzati in precedenza proprio per Astaroth. Su questi siti si trovano app e link che scimmiottano risorse ufficiali e dai nomi come Google Defender, Google Docs, WhatsApp Updater o Flash Update.

Ghimob è il malware per Android che ruba le credenziali di accesso delle app di home banking

Se una di queste app contraffatte dovesse essere scaricata e installata, essa si premura di chiedere l'autorizzazione per utilizzare i servizi di accessibilità come stadio finale del processo di compromissione. Nel caso in cui l'utente autorizzasse questa richiesta, ecco che il malware procede a individuare se nello smartphone siano presenti una o più tra 153 specifiche app per le quali mostrare pagine di login false allo scopo di appropriarsi delle credenziali di accesso dell'utente.

La maggior parte di queste app sono relative a istituti bancari brasiliani, ma i ricercatori Kaspersky hanno individuato nelle versioni più recenti del malware la possibilità di andare a spiare le app di cinque banche tedesche, tre portoghesi, due peruviane, due paraguaiane e una ciascuna per Angola e Mozambico e con ulteriori piani di espansione. E non finisce qui: oltre alle app dei servizi bancari, Ghimob prende di mira anche le app di servizi di cambio di criptovalute.

Nel caso in cui Ghimob riesca a recuperare delle credenziali, le spedisce ai suoi autori che possono così accedere agli account delle vittime ed eseguire transazioni non autorizzate. Qualora poi qualcuno di questi account dovesse essere protetto da misure di sicurezza più robuste, come autenticazione a due fattori, Ghimob consente di prendere controllo da remoto dello smartphone della vittima permettendo agli attaccanti di intercettare le misure di verifica.

Le funzionalità di Ghimob sono già state incontrate in altri trojan bancari come BlacRock o Alien. Kaspersky evidenzia infine come lo sviluppo di Ghimob segua una tendenza abbastanza comune nel panorama del malware brasiliano che vede bande molto attive inizialmente verso realtà locali, espandersi poi lentamente per colpire vittime anche in paesi esteri.