I ricercatori di F6 hanno identificato una nuova campagna di distribuzione del malware Android ZloyRAT, diffuso attraverso applicazioni apparentemente utili per automobilisti, servizi VPN e monitoraggio di droni. Le app malevole promettono funzionalità reali e di interesse immediato, ma una volta installate consentono agli attaccanti di raccogliere dati personali e ottenere un controllo significativo sul dispositivo.
In breve
- ZloyRAT viene distribuito tramite false applicazioni Android.
- Le esche principali includono una VPN gratuita, un radar anti-drone e un'app per automobilisti.
- Il malware può leggere SMS, notifiche, contatti e gestire chiamate telefoniche.
- Gli operatori sembrano interessati a dati provenienti da banche, servizi finanziari, marketplace e applicazioni di messaggistica.
Le applicazioni utilizzate come esca
Secondo l'analisi di F6, gli attaccanti hanno costruito la campagna attorno ad applicazioni che appaiono credibili e particolarmente interessanti per specifiche categorie di utenti.
Tra le applicazioni identificate figurano:
- DPS Radar. Carburante Online;
- GosuVPN, presentata come VPN gratuita "statale";
- Radar BLA, proposta come strumento per monitorare la presenza di droni.
Le campagne pubblicitarie sono state diffuse soprattutto in chat, forum e comunità frequentate da automobilisti, autotrasportatori, operatori del car sharing, corrieri e tassisti.
Come agisce ZloyRAT
Una volta installata, l'applicazione richiede autorizzazioni che appaiono sproporzionate rispetto alle funzionalità promesse.
Tra i permessi richiesti figurano:
- accesso agli SMS;
- lettura dei contatti;
- gestione delle chiamate telefoniche.
Se l'utente concede tali autorizzazioni, gli operatori del malware possono:
- leggere SMS e notifiche push;
- raccogliere l'elenco dei contatti;
- inviare messaggi;
- eseguire comandi USSD;
- effettuare chiamate dal dispositivo compromesso.
La tecnica di occultamento
Per evitare sospetti, dopo l'installazione il malware apre una pagina web legittima che fa apparire l'app funzionante.
L'utente visualizza contenuti coerenti con quanto promesso dall'applicazione e potrebbe non accorgersi immediatamente delle attività malevole eseguite in background.
Secondo i ricercatori, uno dei pochi segnali percepibili potrebbe essere un rallentamento generale delle prestazioni del dispositivo.
I dati che interessano agli attaccanti
L'obiettivo principale sembra essere la raccolta di informazioni provenienti da applicazioni considerate sensibili.
L'analisi di F6 indica che il malware monitora oltre 60 applicazioni appartenenti a:
- istituti bancari;
- piattaforme finanziarie;
- marketplace;
- servizi governativi;
- Telegram.
Questo suggerisce una forte componente orientata al furto di credenziali, dati finanziari e informazioni personali.
Una campagna in evoluzione
Gli specialisti evidenziano che l'utilizzo di applicazioni per automobilisti come esca non è un fenomeno recente.
Secondo quanto riportato, campagne precedenti avevano già sfruttato:
- falsi radar stradali nel 2025;
- applicazioni sulla disponibilità di carburante nel 2026.
La nuova operazione amplia ulteriormente il catalogo delle esche, aumentando le possibilità di convincere gli utenti a installare APK provenienti da fonti non ufficiali.
Cosa significa per la vostra azienda
Le organizzazioni che consentono l'utilizzo di dispositivi Android per attività lavorative dovrebbero:
- vietare l'installazione di APK provenienti da fonti esterne;
- implementare soluzioni MDM (Mobile Device Management);
- monitorare le autorizzazioni concesse alle applicazioni;
- sensibilizzare gli utenti sui rischi delle app pubblicizzate tramite chat e social network;
- utilizzare soluzioni di Mobile Threat Defense per identificare comportamenti anomali.
Chiusura
La campagna ZloyRAT conferma come il malware mobile continui a fare leva sull'ingegneria sociale e sulla fiducia degli utenti. Applicazioni che promettono servizi utili o informazioni in tempo reale possono trasformarsi in strumenti di raccolta dati e compromissione dei dispositivi. Per utenti e aziende, la prima linea di difesa resta l'installazione esclusiva di software proveniente da fonti ufficiali e verificate. NO-RAD continua a monitorare l'evoluzione delle minacce mobile e il loro impatto su utenti e organizzazioni.
Fonti
- F6 warns Russian drivers of ZloyRAT malware in radar apps
- The scammers started spreading the virus under the guise of the DPS Radar application