Il malware Brokewell Mobile si diffonde attraverso falsi aggiornamenti di Chrome
Gli aggiornamenti dei browser contraffatti vengono utilizzati per distribuire un nuovo malware Android noto come Brokewell, che in precedenza non era documentato.
Secondo un'analisi dei ricercatori sulla sicurezza pubblicata nell'aprile 2024, Brokewell è un malware bancario moderno che possiede sia capacità di furto di dati che di controllo remoto.
Il malware è in continua evoluzione e lo sviluppo continuo introduce nuovi comandi per acquisire eventi touch, testo sullo schermo e applicazioni avviate.
Brokewell si maschera da varie app, tra cui Google Chrome, ID Austria e Klarna:
- jcwAz.EpLIq.vcAZiUGZpK (Google Chrome)
- zRFxj.ieubP.lWZzwlluca (ID Austria)
- com.brkwl.upstracking (Klarna)
Come altri recenti malware Android, Brokewell può aggirare le restrizioni di Google sulle app trasferite lateralmente che tentano di richiedere autorizzazioni per i servizi di accessibilità.
Una volta installato e avviato, il trojan bancario richiede alla vittima di concedere le autorizzazioni per il servizio di accessibilità, consentendo la concessione automatica di altre autorizzazioni per svolgere attività dannose.
Brokewell viene fornito con diversi toolkit dannosi
Le funzionalità di Brokewell includono la visualizzazione di schermate sovrapposte per rubare le credenziali dell'utente, intercettare cookie di sessione, registrare audio, acquisire screenshot, accedere ai registri delle chiamate e alla posizione del dispositivo, elencare le app installate, inviare messaggi SMS, effettuare telefonate, installare/disinstallare app e disabilitare i servizi di accessibilità.
Il malware consente agli autori delle minacce di visualizzare da remoto il contenuto dello schermo in tempo reale e interagire con il dispositivo tramite clic, passaggi e tocchi.
Brokewell è attribuito a uno sviluppatore che utilizza lo pseudonimo di "Baron Samedit Marais" che gestisce il progetto "Brokewell Cyber Labs". Il progetto include un Android Loader ospitato su Gitea, progettato per aggirare le restrizioni sui permessi di accessibilità su specifiche versioni di Android e implementare l'impianto trojan.
Il caricatore, simile a un dropper, genera app con il nome del pacchetto predefinito "com.brkwl.apkstore", potenzialmente accessibile ad altri autori di minacce che cercano di eludere le misure di sicurezza di Android.
