Gli infostealer creano video deepfake per rubare denaro

Secondo l’ultimo Threat Report di ESET,  negli ultimi sei mesi i dispositivi Android sono stati presi di mira da minacce a tema finanziario che puntano ai fondi bancari mobili delle vittime. Le minacce si dividono tra malware bancari “tradizionali”, cryptostealer e infostealer capaci di creare video deepfake.

Il nuovo malware mobile Goldpickaxe, per esempio, è in grado di trafugare i dati di riconoscimento facciale per creare video falsi che vengono usati dagli attaccanti per autenticare transazioni finanziarie.

“GoldPickaxe ha versioni sia per Android che per iOS e ha preso di mira le vittime nel sud-est asiatico attraverso applicazioni maligne localizzate. Quando i ricercatori di ESET hanno indagato su questa famiglia di malware, hanno scoperto che un modello Android più vecchio di GoldPickaxe, denominato GoldDiggerPlus, si è diffuso anche in America Latina e in Sudafrica, puntando attivamente le vittime in queste regioni” ha spiegato Jiří Kropáč, Director of ESET Threat Detection.

Pixabay

Gli infostealer non si limitano ai deepfake: negli ultimi mesi, i ricercatori di ESET hanno scoperto che malware come Rilide Stealer hanno utilizzato i nomi degli assistenti di IA come Sora di OpenAI e Gemini di Google per attirare potenziali vittime. In altre campagne, l’infostealer Vidar veniva distribuito tramite una presunta app per desktop Windows per Midjourney. L’abuso dell’IA da parte dei cybercriminali è incrementato notevolmente dal 2023, e il team di ESET prevede che la tendenza continuerà.

In pericolo anche i videogiocatori, in particolare coloro che si sono spinti al di fuori dell’ecosistema ufficiale delle piattaforme di gaming: di recente sono stati individuati diversi videogiochi crackati e strumenti di cheating utilizzati nei giochi multiplayer online contenevano malware infostealer, come Lumma Stealer e RedLine Stealer. Il secondo ha registrato diversi picchi di rilevamento nel primo semestre del 2024 nella telemetria di ESET, causati da campagne in Spagna, Giappone e Germania.

In generale, tra le minacce principali degli ultimi sei mesi c’è anche Balada Injector, una banda nota per lo sfruttamento delle vulnerabilità dei plug-in di WordPress che nella prima metà dell’anno ha compromesso oltre 20.000 siti web. Sul fronte del ransomware, LockBit è rimasto il leader di queste minacce fino a febbraio 2024, quando l’Operazione Chronos ha smantellato i server del gruppo. La gang è tornata online, ma al momento non si segnalano attacchi degni di nota.

ESET ha inoltre analizzato una delle campagne di malware lato server più avanzate e ancora in espansione, ovvero il gruppo Ebury con il suo malware e la sua botnet. Nel corso degli anni, Ebury è stato utilizzato come backdoor per compromettere quasi 400.000 server Linux, FreeBSD e OpenBSD; più di 100.000 risultavano ancora compromessi alla fine del 2023.