Come i Trojan SMS generavano profitti in Russia

TL;DR

I Trojan SMS generavano profitti inviando messaggi a numeri a tariffazione maggiorata, spesso dopo aver ingannato l’utente con bonus, contenuti o software gratuiti. In Russia, network di affiliazione, sublocazione dei prefissi e registrazioni senza verifica dell’identità permettevano agli operatori malevoli di agire anonimamente, cambiare rapidamente numeri e testi bloccati e ricevere i guadagni tramite WebMoney.

Transcript

Salve, mi chiamo Denis Maslennikov. Lavoro per Kaspersky Lab come analyst senior di malware e oggi parleremo di criminalità informatica russa e di criminali informatici russi che operano in ambito mobile. Questa ricerca e questa presentazione dimostrano un punto davvero interessante. I criminali informatici russi nel settore mobile sono probabilmen... Read More

Key Insights

• I Trojan SMS inviavano messaggi premium capaci di costare cinque o dieci dollari ciascuno.
• I Trojan SMS dominarono le modifiche di malware mobile osservate a partire da gennaio 2008.
• La famiglia Kanav occupava da uno a otto KB e conservava numeri e testi nel file manifest.
• Kanav si diffondeva su VKontakte promettendo un bonus di cinquecento rubli o quindici dollari.
• V-Screener sfruttava pressioni rapide del tasto sinistro per ottenere la conferma degli SMS.
• Trojan per Symbian e Windows Mobile scaricavano da remoto numeri premium e testi aggiornabili.
• Falsi siti di software distribuivano archivi CAB contenenti applicazioni e file Trojan eseguibili.
• I network affiliati consentivano registrazioni anonime e versavano i ricavi su conti WebMoney.

Questions & Answers

Q: Che cos’è un Trojan SMS e come produceva guadagni?

Un Trojan SMS era un’applicazione dannosa progettata per inviare messaggi a numeri a tariffazione maggiorata. Secondo la presentazione, un singolo SMS poteva costare cinque o dieci dollari, consentendo ai criminali di prelevare valore direttamente dal credito telefonico della vittima. Il metodo risultava semplice e redditizio perché molte persone non conoscevano ancora il malware mobile. La diffusione avveniva tramite social network, falsi siti di software e applicazioni presentate come contenuti utili, gratuiti o capaci di offrire bonus.

Q: Come si è evoluto il malware mobile descritto nella presentazione?

L’evoluzione viene suddivisa in tre periodi. Nel primo comparvero Trojan SMS primitivi per Java 2 Micro Edition, privi di crittografia e di particolari tecniche di ingegneria sociale. Nel secondo, i Trojan J2ME divennero più avanzati, adottando inganni e, in alcuni casi, cifratura; iniziarono inoltre a comparire applicazioni dannose per Symbian e Windows Mobile. Il terzo periodo, ancora in corso al momento della conferenza, comprendeva Trojan J2ME avanzati e minacce più complesse destinate ai due sistemi per smartphone.

Q: Come funzionava il Trojan Kanav e come veniva distribuito?

Kanav fu una delle prime famiglie impiegate per diffondere Trojan SMS. I suoi campioni erano molto piccoli, da uno a otto KB, e non utilizzavano né crittografia né particolari trucchi di ingegneria sociale. Numeri premium e testi dei messaggi erano memorizzati direttamente nel file manifest. La distribuzione avveniva soprattutto tramite il social network russo VKontakte: messaggi di spam invitavano a scaricare un software per ottenere cinquecento rubli, equivalenti nel discorso a quindici dollari, ma l’applicazione inviava soltanto SMS costosi.

Q: In che modo V-Screener induceva l’utente ad autorizzare gli SMS?

V-Screener si presentava come un lettore video difettoso che l’utente doveva configurare premendo rapidamente il tasto funzione sinistro. Le applicazioni J2ME facevano apparire un avviso quando tentavano di inviare un SMS, collegarsi a un indirizzo o comporre un numero, richiedendo una conferma. Durante la falsa configurazione, il programma mostrava l’immagine di una donna e tentava contemporaneamente di spedire messaggi costosi. Continuando a premere rapidamente lo stesso tasto, l’utente poteva quindi confermare inconsapevolmente l’operazione richiesta dal Trojan.

Q: Perché il download remoto rendeva i Trojan SMS più resistenti ai blocchi?

Alcuni Trojan per smartphone potevano collegarsi al sito dell’autore e scaricare il testo dell’SMS e il numero a tariffazione maggiorata da utilizzare. Se gli operatori mobili avessero individuato e bloccato quei dati perché impiegati illegalmente, l’autore avrebbe potuto noleggiare un altro numero, scegliere un nuovo testo e aggiornare le informazioni pubblicate online. Il malware avrebbe quindi continuato a funzionare senza dover essere sostituito sul dispositivo. Un Trojan per Windows Mobile scaricava anche un file XML con parti cifrate, decodificate mediante una tabella incorporata.

Q: Come venivano infettati gli utenti di Symbian e Windows Mobile?

Per Symbian, la presentazione descrive un Trojan firmato con un certificato valido e capace di scaricare da un indirizzo remoto i parametri necessari per inviare gli SMS. La distribuzione sfruttava anche siti di giochi per smartphone che riconoscevano lo user agent e mostravano pagine ottimizzate per il telefono. Nel caso di Windows Mobile, falsi siti dedicati ad applicazioni per PDA attiravano utenti in cerca di software gratuito. L’archivio CAB scaricato poteva contenere un’applicazione apparentemente legittima insieme al file eseguibile del Trojan.

Q: Come funzionava il network di affiliazione legato ai numeri premium?

Gli operatori mobili agivano normalmente come proprietari dei numeri a tariffazione speciale, mentre i provider di contenuti offrivano servizi di noleggio. Un locatario principale poteva affittare un prefisso testuale e concederlo in sublocazione a diversi affiliati. Alcuni sublocatari potevano offrire servizi legali, come un collegamento per scaricare un gioco o un file JPEG dopo il pagamento via SMS. Un altro affiliato poteva invece impiegare lo stesso sistema per attività di malware mobile, ricevendo un identificativo distinto all’interno del network.

Q: Perché gli affiliati malevoli potevano operare anonimamente in Russia?

Il modulo di registrazione del network richiedeva nome, indirizzo email, indirizzo del sito, nome del sito e conto WebMoney sul quale accreditare i ricavi. Non richiedeva però la scansione del passaporto, una conferma dell’identità o altri dati sensibili. Dopo l’iscrizione, il partecipante riceveva un identificativo affiliato associato al prefisso usato negli SMS premium. Secondo la conclusione esposta, questa struttura permetteva di noleggiare in Russia un testo o un prefisso speciale su un numero a tariffazione maggiorata mantenendo un livello sostanziale di anonimato.

Summary & Key Takeaways

• I Trojan SMS dominarono i rilevamenti di malware mobile illustrati tra gennaio 2008 e il 2011, perché offrivano ai criminali un accesso semplice e redditizio al credito telefonico di utenti poco consapevoli.

• L’evoluzione partì da piccoli Trojan J2ME senza crittografia, poi introdusse ingegneria sociale, dati cifrati e configurazioni remote, estendendosi anche agli smartphone con Symbian e Windows Mobile.

• Il modello russo coinvolgeva operatori mobili, provider di contenuti, locatari e affiliati. La registrazione richiedeva dati non sensibili e un conto WebMoney, consentendo di noleggiare prefissi e operare anonimamente.