Gli hacker utilizzano un Google Play falso per minare criptovalute e rubare fondi

Traders Union
Tutte le notizie
Criptovalute
Gli hacker utilizzano un falso Google Play

Tutte le notizie

Notizie principali

Scelta dell'editore

Azioni

Criptovalute

Notizie finanziarie

Valute

Commodities

Banche centrali

Sergey Shendetskyi

22.03.2026

Gli hacker utilizzano un Google Play falso per minare criptovalute e rubare fondi — Utenti Android presi di mira da applicazioni false

In Brasile è stata rilevata una nuova campagna dannosa rivolta agli utenti Android. Gli aggressori mascherano le pagine di phishing come se fossero il Google Play Store ufficiale e distribuiscono applicazioni che, una volta installate, vengono utilizzate per il mining di criptovaluta e il furto di fondi.

Questo articolo è stato tradotto dall'originale. Leggi la versione originale del nostro corrispondente qui.

Secondo Cryptopolitan, l'attacco combina l'ingegneria sociale con metodi tecnicamente sofisticati, rendendolo difficile da individuare anche per gli utenti più esperti.

Come funziona l'attacco

Come nota SecureList, la campagna inizia con un sito di phishing che imita fedelmente l'interfaccia di Google Play. Agli utenti viene chiesto di scaricare un'applicazione chiamata INSS Reembolso, presumibilmente legata al sistema di sicurezza sociale brasiliano.

Una volta installato, il malware si diffonde in più fasi: prima scarica i componenti crittografati, poi esegue il payload principale direttamente nella memoria del dispositivo. Questo approccio non lascia file visibili, mantenendo l'attività nascosta all'utente.

Il malware controlla anche se è in esecuzione in un ambiente emulato e si spegne se viene rilevata un'analisi. Una volta che il dispositivo è considerato "sicuro", carica moduli aggiuntivi, tra cui un miner basato su XMRig adattato ai dispositivi ARM. Questo collega lo smartphone all'infrastruttura controllata dall'aggressore ed estrae criptovaluta in background.

Per non essere individuato, il programma monitora le condizioni del dispositivo, come il livello della batteria, la temperatura e l'attività dell'utente, attivando il mining solo in condizioni adeguate. Inoltre, aggira le restrizioni di Android riproducendo un file audio quasi impercettibile per simulare l'attività dell'app.

Furto e accesso remoto

Le capacità del malware vanno oltre il mining. In alcuni casi, installa un trojan bancario rivolto agli utenti di Binance e Trust Wallet, in particolare durante le transazioni USDT.

Il malware sovrappone interfacce false alle app legittime e sostituisce silenziosamente gli indirizzi dei portafogli. Di conseguenza, i fondi vengono reindirizzati senza che l'utente se ne accorga.

Inoltre, i dispositivi infetti possono essere utilizzati per registrare l'audio, catturare schermate, inviare SMS e registrare l'attività dell'utente. Il comando e il controllo vengono gestiti tramite Firebase Cloud Messaging, un servizio legittimo di Google, rendendo più difficile il rilevamento.

Alcune varianti implementano anche BTMOB, uno strumento di accesso remoto distribuito secondo un modello di malware-as-a-service. Questo strumento offre agli aggressori il pieno controllo del dispositivo, compreso l'accesso alla fotocamera, al GPS e alle credenziali.

Perché è importante per il mercato

Il caso del Brasile evidenzia l'evoluzione delle minacce nel settore della crittografia. Mentre prima i rischi erano per lo più legati agli exploit dei protocolli, ora gli aggressori prendono sempre più di mira gli utenti attraverso il phishing, le interfacce false e l'ingegneria sociale.

Questi schemi si stanno diffondendo. Gli strumenti MaaS come BTMOB abbassano la barriera all'ingresso, accelerando la diffusione degli attacchi. Di conseguenza, anche l'utilizzo di piattaforme affidabili non garantisce la sicurezza.

Per le aziende, ciò significa investire non solo nella sicurezza delle infrastrutture, ma anche nella protezione delle interazioni con gli utenti, dagli avvisi al monitoraggio dei domini fasulli. Binance e Google stanno già espandendo tali sforzi, ma gli aggressori continuano ad adattarsi rapidamente.

Per gli utenti, la conseguenza è chiara: verificare le fonti ed evitare i link di terze parti è fondamentale. Con la crescita del phishing, la vigilanza diventa la principale linea di difesa.

Allo stesso tempo, i rischi si stanno espandendo in tutti gli ecosistemi. Google ha recentemente identificato delle vulnerabilità per iOS che hanno come obiettivo le frasi di avvio dei portafogli di criptovalute. I ricercatori del Google Threat Intelligence Group hanno scoperto un toolkit chiamato Coruna, progettato per compromettere gli iPhone con versioni di iOS comprese tra la 13.0 e la 17.2.1. Questo conferma che gli attacchi stanno diventando trasversali. Ciò conferma che gli attacchi stanno diventando multipiattaforma e colpiscono gli utenti indipendentemente dal sistema utilizzato.

Questo materiale può contenere opinioni di terze parti, nessuno dei dati e delle informazioni su questa pagina web costituisce consulenza sugli investimenti secondo il nostro Disclaimer. Sebbene aderiamo a una rigorosa Integrità Editoriale, questo post può contenere riferimenti a prodotti dei nostri partner.

Ti è piaciuto l'articolo?