StreamRat su Android: annunci-trappola trasformano una finta app streaming in trojan bancario con controllo totale

Una nuova campagna di malvertising su Android sta diffondendo StreamRat, un trojan bancario in grado di ottenere un controllo quasi completo del dispositivo infetto. La minaccia è stata veicolata tramite annunci che simulano la promozione di una app di streaming televisivo e che hanno preso di mira soprattutto utenti Android di lingua spagnola.

In Europa la campagna pubblicitaria ha raggiunto centinaia di migliaia di account, ma il numero di dispositivi compromessi non è stato reso noto.

Il punto di forza di StreamRat non è solo la componente tecnica, ma anche la catena di inganno che porta l’utente a installare manualmente un file APK fuori dagli store ufficiali. Dopo il click sull’annuncio, la vittima viene reindirizzata a un sito creato ad hoc che rileva il sistema operativo e mostra il pulsante di download solo su Android. Il file scaricato spesso ha un nome generico come app.apk e avvia un dropper che guida passo passo la vittima a concedere permessi critici.

La compromissione avviene quando l’utente accetta una serie di richieste anomale per una semplice app di streaming. Tra queste, la richiesta di impostare il dropper come applicazione Home predefinita, così da riportare la vittima alla sua interfaccia ogni volta che viene premuto il tasto Home. Prima di scaricare il payload finale, il dropper chiede anche di creare una connessione VPN. Questa VPN mostra un’interfaccia non funzionante e interrompe temporaneamente la connettività delle altre app, una tattica che può ridurre alcuni controlli online e analisi automatiche.

Il payload viene poi scaricato nella cartella Download con un nome del tipo update_timestamp.apk e l’utente viene spinto ad abilitare l’installazione da origini sconosciute. Una volta installato StreamRat, la richiesta più pericolosa è l’accesso alle funzioni di Accessibilità. Con questo permesso, gli operatori possono registrare digitazioni, mostrare overlay per rubare credenziali, osservare la schermata e controllare da remoto il dispositivo.

Per catturare lo schermo, il malware può usare sia MediaProjection che metodi di screenshot tramite Accessibilità, aggirando in alcuni casi gli indicatori tipici della condivisione schermo. La campagna risulta collegata anche a infrastrutture e modalità già viste in precedenti operazioni, con componenti ospitati tramite release su piattaforme di sviluppo e aggiornamenti frequenti dei pacchetti.