Un nuovo Trojan di accesso remoto per Android, YuanKong, espone involontariamente dettagli operativi cruciali, inclusi gli identificativi degli account degli operatori, grazie a un dropper debolmente protetto. L'analisi rivela una vasta rete di varianti e infrastrutture C2 condivise.
Un'indagine condotta da STAR Labs ha portato alla luce YuanKong, un sofisticato Trojan di accesso remoto (RAT) per Android che presenta una falla di sicurezza insolita e potenzialmente utile per gli analisti di cybersecurity: i suoi stessi file di distribuzione, noti come dropper, espongono informazioni sensibili sugli operatori che lo utilizzano.
L'analisi di 110 campioni di dropper ha permesso di identificare 57 diverse varianti del payload, 42 account operativi distinti e 44 marchi di compilazione differenti. Ciò che lega queste varianti è un certificato di firma digitale comune e un'infrastruttura di comando e controllo (C2) condivisa. La routine "SVLT-XOR-v2" impiega un semplice algoritmo di cifratura XOR a due chiavi, consentendo agli analisti di recuperare il payload APK in modo statico, senza dover eseguire il malware o interagire con i suoi server. L'app estratta si identifica come YuanKong ed è firmata con lo stesso certificato per tutte le 57 varianti, fornendo un punto di ancoraggio utile per il rilevamento a livello di famiglia, anche quando i nomi dei pacchetti e i marchi cambiano.
La scoperta più significativa riguarda la configurazione interna di ciascuna build del malware. Ogni campione contiene come costanti di stringa un ID account dell'operatore, il nome dell'account e un codice di registrazione. YuanKong include questi dati nella telemetria inviata ai suoi server C2 ogni volta che l'app in primo piano cambia. In pratica, un singolo campione può rivelare non solo le sue capacità, ma anche l'account associato alla sua creazione. I ricercatori hanno utilizzato questo schema per identificare 42 account distinti all'interno della loro raccolta di campioni.
Il modus operandi di YuanKong si discosta dai RAT Android tradizionali che si basano pesantemente su permessi invasivi. Invece di richiedere accessi a SMS, contatti, registri chiamate, fotocamera e microfono, YuanKong sfrutta i servizi di Accessibilità di Android. Questi servizi gli consentono di ispezionare il contenuto dell'interfaccia utente, catturare modifiche al testo (incluse le credenziali inserite nei campi password) e controllare a distanza il dispositivo tramite tocchi, scorrimenti, digitazioni e navigazione. Il malware è in grado di trasmettere lo schermo, leggere le notifiche e il contenuto degli appunti, raccogliere file e dati di localizzazione. Inoltre, può visualizzare overlay personalizzati dall'attaccante sopra app selezionate per intercettare credenziali di pagamento.
Una tecnica particolarmente insidiosa consiste nell'utilizzare un overlay a schermo nero per nascondere le attività remote all'utente. Questo approccio può portare al furto di credenziali e consentire transazioni fraudolente, specialmente durante sessioni bancarie o di pagamento. Sebbene l'analisi non specifichi il numero di dispositivi infetti, il potenziale di danno è considerevole.
L'infrastruttura di comando e controllo di YuanKong non si basa su un singolo server hardcoded. Sono stati identificati tre domini C2, due dei quali presentano anche un alias "www". I ricercatori hanno individuato un set di host condivisi, tra cui apppanda[.]xyz, ktxapp[.]com, ktx123[.]net e l'indirizzo IP 206.82.1.14. È importante notare che le stringhe dei nomi dei pacchetti trovate nella configurazione sono considerate materiale di "seme" per la generazione dell'identità del dispositivo, piuttosto che indicatori C2 o bersagli confermati.
Una delle tecniche più preoccupanti impiegate da YuanKong è l'escalation dei privilegi locali. Invece di sfruttare una vulnerabilità software, abusa della funzionalità di Debug Wireless (Wireless Debugging) di Android. Una volta ottenuto l'accesso tramite i servizi di Accessibilità, il malware può abilitare il debug, leggere i dettagli di accoppiamento dall'interfaccia di sistema e accoppiarsi con il servizio Android Debug Bridge (ADB) del dispositivo. Questo conferisce al RAT un accesso a livello di shell, che, sebbene non sia equivalente all'accesso root illimitato, espande significativamente il controllo del malware, permettendogli di concedersi ulteriori permessi e rafforzare la propria persistenza sul dispositivo.
Il canale di comunicazione C2 utilizza connessioni WebSocket persistenti tramite Socket.IO/Engine.IO e messaggi JSON tipizzati. Il codice analizzato non mostra un'applicazione separata di crittografia a livello applicativo; la riservatezza delle comunicazioni dipende esclusivamente dalla crittografia TLS.
Le tecniche impiegate da YuanKong presentano similitudini con altre minacce Android. Ad esempio, RatHat, documentato da Zimperium nel settembre 2026, combina anch'esso l'abuso dei servizi di Accessibilità con l'accoppiamento ADB locale. Tuttavia, YuanKong utilizza un'architettura distinta e si basa sui dati di accesso ai servizi di Accessibilità e a livello di finestra, distinguendosi da RatHat che cattura eventi touch grezzi tramite getevent.
Per la difesa, STAR Labs consiglia di concentrarsi sul certificato di firma digitale condiviso di YuanKong e sugli indicatori C2 confermati, piuttosto che sui nomi delle app in continua evoluzione. È fondamentale indagare su servizi di Accessibilità non familiari, attività di Debug Wireless inaspettate e applicazioni che richiedono ampi controlli senza una giustificazione chiara.
Gli utenti finali dovrebbero evitare di installare file APK da link non sollecitati e rivedere regolarmente quali app hanno ottenuto l'accesso ai servizi di Accessibilità. È importante non bloccare i nomi dei pacchetti imitativi basandosi unicamente sulla loro presenza nella configurazione di YuanKong, poiché questi stringhe non sono indicatori affidabili di infezione.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
