Feb 15, 2024 Attacchi, In evidenza, Minacce, News, RSS

I ricercatori di Group-IB hanno scoperto GoldPickaxe, un nuovo trojan che “ruba” il volto delle vittime per creare deepfake e accedere agli account bancari degli utenti.

Il malware è stato attribuito a GoldFactory, un gruppo di hacker cinesi che ha realizzato anche altri due trojan GoldDigger e GoldKefu, realizzati per apparire come applicazioni di istituti bancari al fine di sottrarre le credenziali bancarie delle vittime.

GoldPickaxe si finge un’applicazione governativa e richiede all’utente di creare un profilo biometrico completo usando il volto; in seguito, l’applicazione richiede anche una foto della carta di identità. Per completare la registrazione le vittime devono anche inserire il numero di telefono.

Durante il processo di registrazione, alle vittime è richiesto di installare anche un programma di Mobile Device Management che serve agli attaccanti per prendere il controllo dei dispositivi. Il software MDM consente al gruppo di monitorare gli SMS in entrata e in uscita, localizzare il dispositivo e installare nuove applicazioni malevole.

L’obiettivo del gruppo è ottenere i dati biometrici della vittima e i suoi documenti identificativi per creare deepfake e usarli per accedere agli account bancari, spostando poi i fondi su conti controllati dagli attaccanti. Il riconoscimento facciale viene utilizzato da molte organizzazioni finanziarie thailandesi sia per l’autenticazione che per la verifica delle transazioni.

Il trojan è attivo da ottobre 2023 e ha preso di mira per lo più la Thailandia, impersonando organizzazioni governative e banche locali. Dopo essere state contattate da Group-IB, le forze dell’ordine thailandesi hanno confermato che il trojan sta circolando su numerosi dispositivi, anche se non c’è un’indicazione chiara dell’impatto di GoldPickaxe.

I ricercatori sottolineano che GoldPickaxe è il primo trojan iOS che combina il furto di dati biometrici col monitoraggio degli SMS e proxying del traffico da e verso il dispositivo.

GoldFactory si è rivelato molto attivo negli ultimi mesi e i ricercatori sostengono che presto le attività del gruppo potrebbero espandersi anche nel Vietnam e oltre.

“L’aumento dei trojan mobile che colpiscono la regione Asia-Pacifico può essere attribuito a GoldFactory” afferma Andrey Polovinkin, malware analyst del threat intelligence team di Group-IB. “Il gruppo ha processi ben definiti e maturità operativa e migliora costantemente il proprio set di strumenti per allinearsi all’ambiente preso di mira, dimostrando un’elevata competenza nello sviluppo di malware. La scoperta di un sofisticato trojan per iOS evidenzia la natura in evoluzione delle minacce informatiche che colpiscono la regione Asia-Pacifico. Secondo la nostra valutazione, sembra imminente che GoldPickaxe raggiunga presto le coste del Vietnam, mentre le sue tecniche e funzionalità saranno incorporate in malware che prenderanno di mira altre regioni“.

• deepfake, GoldDigger, GoldFactory, GoldKefu, GoldPickaxe, riconoscimento biometrico, Trojan, trojan bancario