Mavericks è il nuovo trojan bancario per Android che si diffonde con WhatsApp

Maverick è il nome del nuovo trojan bancario individuato dal team GReAT di Kaspersky, una minaccia che ha già colpito migliaia di utenti in Brasile e che sfrutta WhatsApp come veicolo di diffusione, potenzialmente in tutto il mondo. Si tratta di un malware progettato per sottrarre credenziali bancarie e dati sensibili, diffuso attraverso file LNK. Quando vengono eseguiti, avviano l’infezione sugli smartphone Android attaccati senza che l’utente se ne accorga.

Il codice di Maverick mostra analogie con Coyote, un altro trojan bancario brasiliano, e utilizza porzioni di codice generate con l’aiuto dell’intelligenza artificiale. L’uso dell’AI consente al malware di decodificare certificati digitali e generare parti di codice in modo più rapido e sofisticato, rendendo più difficile l’analisi da parte degli esperti di sicurezza. Il trojan comunica con un server C2 (Command and Control), ossia un sistema remoto che impartisce istruzioni ai computer infetti. Per limitare la rilevazione, il server verifica che ogni download provenga davvero dal malware e, almeno per ora, circoscrive l’attacco agli utenti brasiliani.

Tipico messaggio con cui si diffonde Maverick.

Una volta installato, Maverick può controllare completamente il dispositivo: cattura schermate, registra la digitazione tramite keylogger, monitora la navigazione e può bloccare lo schermo quando si accede ai siti bancari mostrando false pagine (overlay di phishing) per rubare le credenziali. Il trojan sorveglia l’attività di 26 istituti di credito brasiliani, diverse piattaforme di scambio di criptovalute e servizi di pagamento online. Le sue funzioni modulari vengono eseguite interamente in memoria tramite PowerShell e .NET, riducendo al minimo le tracce lasciate sul disco e aumentando la capacità di eludere gli antivirus.

Nei primi dieci giorni di ottobre, le soluzioni di Kaspersky hanno già bloccato oltre 62.000 tentativi di esecuzione del file infetto. Anche se l’ondata riguarda principalmente il Brasile, è plausibile che, come accaduto con altri trojan in passato, Maverick possa in futuro diffondersi anche altrove. Per ridurre i rischi, è consigliabile non aprire file ricevuti via WhatsApp o altre app di messaggistica, anche se provengono da contatti noti (visto che i loro account potrebbero essere stati hackerati) e specialmente se l’invito ad aprire gli allegati viene fatto esercitando una certa urgenza e pressione; mantenere sempre aggiornato il software ed eseguire il download delle applicazioni solo da fonti ufficiali.