{"id":14119,"date":"2017-08-21T14:31:15","date_gmt":"2017-08-21T12:31:15","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=14119"},"modified":"2017-11-13T16:40:24","modified_gmt":"2017-11-13T14:40:24","slug":"faketoken-trojan-taxi","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/faketoken-trojan-taxi\/14119\/","title":{"rendered":"I Trojan dei taxi stanno arrivando"},"content":{"rendered":"

Avete una gran fretta, state cercando di andare al lavoro, a una riunione d\u2019affari, a un appuntamento. Cos\u00ec, come al solito, aprite la vostra applicazione preferita per prenotare un taxi, ma questa volta questa vi chiede di inserire il vostro numero di carta di credito. Ci\u00f2 vi sembra sospetto? Forse non lo \u00e8, le applicazioni dimenticano le informazioni, e tutto quello che dovete fare \u00e8 aggiungere nuovamente il numero della carta.<\/p>\n

Tuttavia, dopo qualche tempo notate il denaro scomparire dal vostro conto. Che cosa \u00e8 successo? Potreste essere gli sfortunati vincitori di un Trojan mobile. Questo tipo di malware \u00e8 stato recentemente sorpreso a rubare i dati bancari imitando le interfacce delle applicazioni per la prenotazione di taxi<\/a>.<\/u><\/p>\n

\"\"<\/a><\/p>\n

Il Trojan Faketoken esiste gi\u00e0 da tempo e viene aggiornato da molti anni. I nostri esperti hanno chiamato la versione corrente \u201cFaketoken.q\u201d, e ormai ha imparato un numero significativo di trucchi.<\/p>\n

Dopo essersi infiltrato in uno smartphone (a giudicare dall\u2019icona del malware, Faketoken si infiltra negli smartphone attraverso i messaggi SMS di massa dove si invita l\u2019utente a scaricare una immagine) e installando i moduli necessari, il Trojan nasconde l\u2019icona di collegamento e avvia il monitoraggio in background di tutto ci\u00f2 che accade nel sistema.<\/p>\n

\n

\"\"<\/a><\/p>\n

L\u2019icona del Trojan Faketoken installato<\/p>\n<\/div>\n

Prima di tutto, il Trojan \u00e8 interessato alle chiamate dell\u2019utente. Appena rileva una chiamata, inizia la registrazione. Quando la chiamata \u00e8 terminata, Faketoken invia la registrazione al server dei cybercriminali. In un secondo momento, il Trojan controlla anche quali applicazioni vengono utilizzate dal proprietario dello smartphone.<\/p>\n

Quando Faketoken rileva l\u2019apertura di un\u2019applicazione di cui pu\u00f2 simularne l\u2019interfaccia, il Trojan sovrappone immediatamente l\u2019applicazione con la propria schermata. Per raggiungere questo obiettivo, utilizza una funzionalit\u00e0 Android standard che supporta la visualizzazione di sovrapposizioni dello schermo su tutte le altre applicazioni<\/a><\/u>. Un intero gruppo di applicazioni legittime, come messaggistica, gestore delle finestre e cos\u00ec via, utilizza questa funzionalit\u00e0.<\/p>\n

La finestra di sovrapposizione corrisponde ai colori dell\u2019interfaccia dell\u2019applicazione originale. In questa finestra, il Trojan invita l\u2019utente a inserire il numero della sua carta di credito, incluso il codice di verifica sul retro della carta.<\/p>\n

\"\"<\/a><\/p>\n

\n

\"\"<\/a><\/p>\n

Il Trojan Faketoken.q imita le applicazioni per la prenotazione taxi popolari in Russia<\/p>\n<\/div>\n

In realt\u00e0, Faketoken.q \u00e8 alla ricerca di una grande variet\u00e0 di applicazioni che hanno una cosa comune: in esse, una richiesta di immissione dei dati di pagamento sembra abbastanza normale da non suscitare sospetti. Tra le applicazioni attaccate ci sono un certo numero di applicazioni bancarie per dispositivi mobili, Android Pay, Google Play Store, applicazioni per prenotare voli e camere d\u2019albergo, applicazioni per pagare multe stradali, cos\u00ec come applicazioni per prenotare taxi.<\/p>\n

Nell\u2019esatto momento in cui ruba i soldi all\u2019utente, Faketoken ricorre ad un altro stratagemma<\/a>,<\/u> intercettando tutti i messaggi SMS in arrivo, nascondendoli all\u2019utente, e trasmettendoli al server dei criminali, dove le one-time password per la conferma di pagamento vengono estratte da questi messaggi.<\/p>\n

In che modo i trojan bancari bypassano l\u2019autenticazione a due fattori?<\/a><\/p><\/blockquote>\n