SOVA: un viaggio dentro il nuovo trojan bancario Android

Posted by

Di cosa si tratta?

All’inizio di agosto 2021, i ricercatori di ThreatFabric si sono imbattuti in un nuovo trojan bancario Android. Sulla base del pannello di accesso del server C2, hanno potuto apprendere che è stato chiamato SOVA dai suoi stessi creatori.

Sova è la parola russa per gufo. Questo nome è stato scelto dallo stesso attore della minaccia forse a causa della natura del gufo come rapace notturno, silenzioso ma efficiente nell’inseguire e catturare le sue vittime. Questo identifica un trojan bancario Android completamente nuovo, al meglio delle nostre conoscenze. Il trojan è attualmente in fase di sviluppo e test e ha l’obiettivo di aggiungere ai suoi meccanismi di overlay e keylogging, altre funzionalità altamente pericolose come DDoS e Ransomware nelle versioni future. Ci sono alcuni aspetti interessanti che differenziano questo trojan da quelli già esistenti, sia nelle funzionalità che nello sviluppo.

Come funziona?

Attualmente, ThreatFabric ha identificato tre campioni di SOVA in natura. Le prime due sono una delle versioni originali e offuscate della prima iterazione del malware e l’ultima è la versione più recente, con alcuni nuovi comandi e funzionalità.

Lo screenshot seguente contiene la pagina VirusTotal per la versione offuscata e compatta di SOVA.

La stringa evidenziata, sotto l’hash del file, è il nome con cui il file è stato caricato su VirusTotal. Il nome del file è “vormastor test crypted.apk”.

Secondo gli autori, esistono già più overlay disponibili per diversi istituti bancari degli USA e della Spagna , ma offrono la possibilità di crearne altri in caso di necessità da parte dell’acquirente.

Comandi

L’obiettivo principale del SOVA è raccogliere le PII della vittima.

SOVA fa del suo meglio per non farsi scoprire. Per raggiungere questo obiettivo, SOVA abusa della meccanica di sovrapposizione per indurre le vittime a rivelare le loro password e altre importanti informazioni private. In un attacco overlay, gli utenti digitano le proprie credenziali in quella che pensano sia un’app bancaria legittima, fornendole effettivamente a una pagina controllata dall’attaccante. SOVA ha anche la possibilità di rubare i cookie di sessione dal dispositivo. Questa funzione non è inaudita, ma sicuramente non è comune sui moderni trojan Android.

Le funzionalità del bot, come pubblicizzato dai suoi autori, includono:

  • Ruba i dati del dispositivo.
  • Inviare SMS.
  • Overlay e Cookie injection.
  • Overlay e iniezione di cookie tramite notifica push.
  • Esecuzione dell’USSD.
  • Sovrapposizioni di carte di credito con controllo di validità.
  • Intercettazione nascosta per SMS.
  • Intercettazione nascosta per le notifiche.
  • Registratore di tasti.
  • Disinstallazione dell’app.
  • Resilienza dalla disinstallazione da parte delle vittime.

Le funzionalità offerte da SOVA sono in linea con lo standard per il malware Android che siamo abituati a vedere nel 2021. Tuttavia, come accennato in precedenza, i criminali dietro questo bot sono molto proattivi e hanno anche rilasciato una roadmap dettagliata delle funzionalità da includere nelle versioni future di SOVA:

  • Iniezioni automatiche di sovrapposizione a 3 fasi.
  • Iniezioni automatiche di biscotti.
  • Manipolazione degli appunti.
  • DDoS
  • Miglioramento della salute del pannello.
  • Ransomware (con overlay per il numero della carta).
  • L’uomo nel mezzo (MitM).
  • Notifiche push normali.
  • Più sovrapposizioni.
  • VNC.
  • Intercettazione 2FA.

È molto interessante notare come questo gruppo abbia una tabella di marcia per il proprio prodotto, inclusa una fase con i primi utenti per testare il bot e l’infrastruttura. Il secondo set di funzionalità, aggiunto negli sviluppi futuri, è molto avanzato e spingerebbe SOVA in un regno diverso per il malware bancario Android. 

Elenco obiettivi

Nome pacchettoNome App
com.google.Android.apps.authenticator2Google Authenticator
com.bankaustria.Android.olbBank Austria MobileBanking
com.cibc.Android.mobiCIBC Mobile Banking®
com.rbc.mobile.AndroidRBC Mobile
cz.airbank.AndroidMy Air
com.kutxabank.AndroidKutxabank
es.lacaixa.mobile.Android.newwapiconCaixaBank
com.mtel.AndroidbeaBEA 東亞銀行
jp.co.aeonbank.Android.passbookイオン銀行通帳アプリ かんたんログイン&残高・明細の確認
com.barclays.ke.mobile.Android.uiBarclays Kenya
nz.co.anz.Android.mobilebankingANZ goMoney New Zealand
alior.bankingapp.AndroidUsługi Bankowe
wit.Android.bcpBankingApp.millenniumPLBank Millennium
com.idamobile.Android.hcbМобильный банк – Хоум Кредит
ru.rosbank.AndroidROSBANK Online
com.vkontakte.AndroidVK — live chatting & free calls
ru.taxovichkof.AndroidTaxovichkof
hr.asseco.Android.jimba.mUCI.roMobile Banking
may.maybank.AndroidMaybank2u
com.amazon.mShop.Android.shoppingAmazon Shopping – Search, Find, Ship, and Save
ru.alfabank.mobile.AndroidАльфа-Банк (Alfa-Bank)
com.idamob.tinkoff.AndroidTinkoff
ru.vtb24.mobilebanking.AndroidVTB-Online
com.akbank.Android.apps.akbank_direktAkbank
com.akbank.Android.apps.akbank_direkt_tabletAkbank Direkt Tablet
com.akbank.Android.apps.akbank_direkt_tablet_20
com.ykb.AndroidYapı Kredi Mobile
com.ykb.Android.mobilonay Yapı Kredi Corporate-For Firms
com.ykb.AndroidtabletYapı Kredi Mobil Şube
biz.mobinex.Android.apps.cep_sifrematikGaranti BBVA Cep Şifrematik
com.matriksmobile.Android.ziraatTraderZiraat Trader
de.comdirect.Androidcomdirect mobile App
de.fiducia.smartphone.Android.banking.vrVR Banking Classic
fr.creditagricole.AndroidappMa Banque
com.boursorama.Android.clientsBoursorama Banque
com.caisseepargne.Android.mobilebankingBanque
fr.lcl.Android.customerareaMes Comptes – LCL
com.paypal.Android.p2pmobilePayPal Mobile Cash: Send and Request Money Fast
com.usaa.mobile.Android.usaaUSAA Mobile
com.chase.sig.AndroidChase Mobile
com.grppl.Android.shell.BOSBank of Scotland Mobile Banking: secure on the go
com.rbs.mobile.Android.natwestoffshoreNatWest International
com.rbs.mobile.Android.natwestNatWest Mobile Banking
com.rbs.mobile.Android.natwestbandcNatWest Business Banking
com.rbs.mobile.Android.rbsRoyal Bank of Scotland Mobile Banking
com.rbs.mobile.Android.rbsbandcRBS Business Banking
com.rbs.mobile.Android.ubrUlster Bank RI Mobile Banking
com.grppl.Android.shell.halifaxHalifax: the banking app that gives you extra
com.grppl.Android.shell.CMBlloydsTSB73Lloyds Bank Mobile Banking: by your side
com.barclays.Android.barclaysmobilebankingBarclays
com.unionbank.ecommerce.mobile.AndroidUnion Bank Mobile Banking
au.com.ingdirect.AndroidING Australia Banking
com.cba.Android.netbankCommBank app for tablet
com.anz.Android.gomoneyANZ Australia
com.anz.AndroidANZ Mobile Taiwan
de.fiducia.smartphone.Android.banking.vrVR Banking Classic
it.volksbank.AndroidVolksbank · Banca Popolare
de.fiducia.smartphone.Android.securego.vrVR-SecureGo
com.starfinanz.smob.Android.sfinanzstatusSparkasse Ihre mobile Filiale
com.starfinanz.mobile.Android.pushtanS-pushTAN
com.starfinanz.smob.Android.sfinanzstatus.tabletSparkasse fürs Tablet
com.starfinanz.smob.Android.sbankingSparkasse+ Finanzen im Griff
com.palatine.Android.mobilebanking.prodePalatine Particuliers
es.cm.AndroidBankia
es.cm.Android.tabletBankia Tablet
com.bestbuy.AndroidBest Buy
com.latuabancaperAndroidIntesa Sanpaolo Mobile
com.latuabanca_tabperAndroidLa tua banca per Tablet
it.copergmps.rt.pf.Android.sp.bmpsBanca MPS
com.ykb.AndroidYapı Kredi Mobile
aib.ibank.AndroidAIB Mobile
com.jpm.sig.AndroidJ.P. Morgan Mobile
pinacleMobileiPhoneApp.AndroidPINACLE®
com.fuib.Android.spot.onlinePUMB Online
com.ukrsibbank.client.AndroidUKRSIB online
ru.alfabank.mobile.ua.AndroidAlfa-Mobile Ukraine
ua.aval.dbo.client.AndroidRaiffeisen Online Ukraine
ua.com.cs.ifobs.mobile.Android.otpOTP Smart
ua.com.cs.ifobs.mobile.Android.pivdPivdenny MyBank
io.getdelta.AndroidDelta – Bitcoin & Cryptocurrency Portfolio Tracker
com.coinbase.AndroidCoinbase – Buy & Sell Bitcoin. Crypto Wallet
piuk.blockchain.AndroidBlockchain Wallet. Bitcoin, Bitcoin Cash, Ethereum
com.thunkable.Android.santoshmehta364.UNOCOIN_LIVEUNOCOIN LIVE
com.thunkable.Android.manirana54.LocalBitCoinsLocalBitCoins
com.thunkable.Android.manirana54.LocalBitCoins_unblockUNBLOCK Local BitCoins
com.citizensbank.AndroidappCitizens Bank Mobile Banking
com.navyfederal.AndroidNavy Federal Credit Union

Vuoi commentare? Accendi la discussione