I Telefoni a Basso Costo Arrivano con un Finto WhatsApp che Ruba le Criptovalute

Una versione falsa di WhatsApp preinstallata su smartphone Android economici sta rubando criptovalute sostituendo gli indirizzi dei portafogli e analizzando i dati degli utenti.

I ricercatori di sicurezza hanno scoperto una pericolosa truffa che coinvolge smartphone Android economici con app false preinstallate progettate per rubare criptovalute. Secondo la società antivirus con sede in Russia, Doctor Web, la campagna di malware è stata segnalata per la prima volta a metà del 2024 ed è cresciuta significativamente da allora.

Gli aggressori stanno prendendo di mira gli utenti che acquistano smartphone a basso costo che sembrano simili a modelli di grandi marche come il “S23 Ultra” o il “Note 13 Pro”. Questi telefoni spesso affermano di funzionare con Android 14 ma in realtà utilizzano una versione modificata di Android 12, con specifiche di sistema false.

Una versione trojanizzata di WhatsApp, installata segretamente su questi telefoni, è al centro della truffa. Utilizzando uno strumento chiamato LSPatch, gli hacker hanno aggiunto un modulo nascosto all’app. Una volta attivato, intercetta e modifica in silenzio gli indirizzi dei portafogli di criptovalute copiati, un metodo noto come “clipping”.

Il malware inganna sia il mittente che il destinatario. Doctor Web spiega che “nel caso di un messaggio in uscita, il dispositivo compromesso mostra l’indirizzo corretto del portafoglio della vittima, mentre al destinatario… viene mostrato l’indirizzo del portafoglio dei truffatori.”

Questa versione di WhatsApp invia anche tutti i messaggi degli utenti agli hacker e scandisce il dispositivo alla ricerca di immagini contenenti frasi di recupero, spesso utilizzate per accedere ai portafogli cripto. Molti utenti fanno screenshot di queste frasi, dando agli hacker un accesso completo se trovate.

Il Dottor Web ha chiamato il trojan Shibai. Si ritiene che colpisca circa 40 app, tra cui Telegram, Trust Wallet e MathWallet. La campagna utilizza oltre 60 server e 30 domini, e alcuni portafogli hacker hanno ricevuto oltre $1 milione in criptovalute rubate.