Mostra sommario Nascondi sommario
Un nuovo trojan bancario per Android, battezzato Herodotus, sta prendendo di mira utenti in vari Paesi con tecniche sofisticate. La minaccia combina messaggi ingannevoli, schermate fasulle e comportamenti umani simulati per sottrarre dati e prendere il controllo dei dispositivi.
Modalità di diffusione e inganno iniziale
Il vettore principale per la diffusione è il smishing, ovvero SMS che contengono link malevoli. In alcuni casi il malware si spaccia per una app di sicurezza bancaria chiamata “Banca Sicura”.
Galaxy H1: in arrivo le cuffie over-ear di Samsung
Lenovo a IFA 2026: due notebook super sottili, uno con display OLED espandibile
- Messaggi SMS con URL compromessi.
- Dropper progettati per eludere le difese dei sistemi più aggiornati.
- Richieste ingannevoli per abilitare i servizi di accessibilità.
Il dropper guida l’utente a concedere permessi critici. Questo passaggio è studiato per abilitare funzioni che solitamente richiedono intervento manuale.
Overlay e imitazione del comportamento umano
Schermate sovrapposte per rubare credenziali
Herodotus utilizza overlay che replicano esattamente le schermate delle app bancarie. L’utente vede l’interfaccia ufficiale, mentre dietro le quinte l’attaccante intercetta i dati.
Digitazione casuale per ingannare i sistemi antifrode
Per evitare il rilevamento, il malware simula la digitazione manuale. Gli operatori remoti inseriscono testi con pause variabili tra 0,3 e 3 secondi.
Questa strategia rende difficile distinguere l’attività fraudolenta dai normali comportamenti umani.
Comunicazioni, offuscamento del codice e infrastruttura criminale
Le comunicazioni con i server di comando avvengono tramite MQTT, un protocollo leggero e poco tracciabile. Il codice è fortemente offuscato per rallentare l’analisi forense.
- Uso di MQTT per coordinare azioni remote.
- Offuscamento e tecniche già osservate in campagne correlate.
- Disponibilità come Malware as a Service, che facilita l’uso da parte di altri gruppi criminali.
Il modello MaaS abbassa la barriera d’ingresso per chi vuole lanciare campagne personalizzate.
Che cosa rischiano le vittime
Herodotus può ottenere il controllo completo del dispositivo. Durante una sessione bancaria attiva il trojan può compiere transazioni, compilare form e intercettare SMS con codici di verifica.
- Furto di credenziali e accesso ai conti.
- Transazioni non autorizzate eseguite in background.
- Intercettazione di codici OTP e notifiche bancarie.
Il danno economico può essere immediato e difficile da ricostruire senza l’intervento della banca e delle autorità.
Misure pratiche per ridurre il rischio su Android
- Scaricare app solo dal Google Play Store ufficiale.
- Non aprire link sospetti ricevuti via SMS o chat.
- Aggiornare sempre il sistema operativo e le applicazioni.
- Non concedere permessi ai servizi di accessibilità senza verificare la fonte.
- Attivare notifiche di sicurezza per ogni transazione bancaria.
- Monitorare periodicamente l’estratto conto e segnalare attività sospette.
- Considerare soluzioni di sicurezza mobile e l’autenticazione a più fattori dove possibile.
