HeroRat, nuovo malware si diffonde su Android via Telegram

A porre l'attenzione su HeroRat sono stati per primi i ricercatori di ESET: si tratta di una nuova famiglia di RAT (Remote Administration Tool) per Android che abusa del protocollo Telegram da agosto 2017 e il cui codice sorgente è disponibile gratuitamente dallo scorso mese di marzo. Con questo tipo di malware è possibile spiare o estrapolare file dai dispositivi infetti, intercettare messaggi, ottenere contatti, eseguire chiamate, registrare audio, rilevare la posizione nel tempo, controllare le impostazioni. HeroRat è una delle varianti del malware ed è offerto in vendita su un canale Telegram dedicato e potrebbe essere stato creato partendo dal codice sorgente trapelato negli scorsi mesi o addirittura potrebbe essere la versione originale del software.

Come funziona HeroRat?

I cybercriminali possono utilizzare diverse tecniche per diffondere HeroRat, come attraverso app contraffatte scaricate da store di terze parti. La notizia positiva è che il malware non è presente su Google Play e attualmente è distribuito principalmente in Iran grazie ad un'app che promuove Bitcoin e connessioni ad internet gratis, oltre che follower aggiuntivi sui social media. HeroRat funziona su tutte le versioni di Android una volta che l'utente offre le autorizzazioni richieste.

Una volta installato, il malware lancia un piccolo pop-up che dichiara che l'app non può essere eseguita e verrà disinstallata, con l'icona che scompare dal terminale. In realtà questo è il momento in cui l'aggressore guadagna il controllo del terminale attraverso un bot, configurato e gestito attraverso l'app Telegram. A differenza di altri RAT simili diffusi in precedenza, scritti nello standard Android Java, HeroRat è sviluppato da zero in C# utilizzando Xamarin.

Come difendersi da HeroRat

ESET consiglia naturalmente la propria suite anti-virus per Android in modo da difendersi dal malware (viene riconosciuto come Android/Spy.Agent.AMS e Android/Agent.AQO), tuttavia è consigliabile evitarlo sul nascere. Il consiglio è sempre il solito: non scaricare app se non da Google Play Store, ed evitare eventuali fonti su cui non riponete il massimo della fiducia, come store che propongono software contraffatto o dalle dubbie origini.