Allarme sicurezza: oltre 280 app Android rubano credenziali di criptovalute via OCR

Una nuova minaccia sta prendendo di mira gli utenti Android, mettendo potenzialmente a rischio i loro risparmi in criptovalute. Ricercatori di sicurezza di McAfee hanno infatti identificato oltre 280 applicazioni malevole che utilizzano tecniche avanzate per sottrarre informazioni sensibili dai dispositivi infetti.

Le app in questione si camuffano da servizi legittimi, come app bancarie, governative o di streaming, per ingannare gli utenti e ottenere l'accesso ai loro dispositivi. Una volta installate, queste app dannose scandagliano i telefoni alla ricerca di messaggi, contatti e immagini, inviando in maniera invisibile i dati raccolti a server remoti controllati dai criminali informatici.

Campagna malware su Android: 280 app alla ricerca delle credenziali dei crypto wallet

L'elemento più caratteristico di questa campagna malware è l'impiego di software di riconoscimento ottico dei caratteri (OCR) per estrarre le credenziali dei portafogli di criptovalute dalle immagini memorizzate sui dispositivi. Molti utenti, infatti, conservano le proprie chiavi mnemoniche sotto forma di screenshot o foto, ritenendole al sicuro. Tuttavia, grazie alla tecnologia OCR, gli aggressori possono convertire le immagini in testo leggibile, compromettendo la sicurezza dei fondi digitali.

SangRyol Ryu, ricercatore presso McAfee, ha scoperto questa minaccia accedendo ai server che ricevevano i dati rubati, sfruttando configurazioni di sicurezza deboli. L'analisi ha rivelato un sofisticato sistema di gestione delle informazioni sottratte, con un pannello amministrativo che organizza e processa i dati attraverso script Python e Javascript. La buona notizia è che le app malevole non sono distribuite tramite Google Play, ma vengono diffuse attraverso siti web dannosi e campagne di phishing mirate.

Gli sviluppatori del malware hanno inoltre implementato diverse tecniche di offuscamento per eludere i sistemi di rilevamento, tra cui string encoding, l'aggiunta di codice irrilevante e la ridenominazione di funzioni e variabili. Inizialmente concentrata in Corea del Sud, la minaccia sta ora espandendosi geograficamente, con segnalazioni recenti nel Regno Unito che suggeriscono un tentativo deliberato degli aggressori di ampliare il proprio raggio d'azione, adattando il malware a nuovi contesti linguistici e culturali.

Il consiglio per evitare i rischi associati a questa campagna di malware è, al solito, di essere estremamente cauti nell'installazione di app da fonti non ufficiali e di evitare di conservare informazioni sensibili, come le chiavi dei portafogli di criptovalute, in formato immagine sui propri dispositivi. È fondamentale inoltre mantenere aggiornato il sistema operativo con le ultime patch di sicurezza e prestare attenzione ai messaggi sospetti che potrebbero contenere link a siti di distribuzione del malware.