Zimperium scopre ClayRat, malware Android evoluto: abusa dell'accessibilità, registra tasti e PIN, intercetta notifiche e OTP, impedisce la rimozione.
© A. Krivonosov
I ricercatori di Zimperium segnalano una nuova versione, più sofisticata, del malware Android ClayRat. Se in passato la minaccia si limitava a un infostealer di base capace di sottrarre SMS e registri delle chiamate, oggi si è trasformata in uno strumento di sorveglianza polivalente, con accessi più profondi al sistema e una difesa integrata contro la rimozione. Un salto di qualità che suona come un campanello d’allarme e alza l’asticella del rischio per gli utenti comuni.
Le prime varianti osservate nell’autunno 2024 erano relativamente circoscritte. Ora ClayRat sfrutta i servizi di accessibilità di Android, consentendo agli attaccanti di manovrare l’interfaccia del dispositivo con pochissimi vincoli. L’arsenale si è ampliato: registrazione dei tasti premuti, cattura dei PIN, lettura delle password e persino sblocco automatico dello schermo.
Gli specialisti segnalano anche una nuova contromisura anti‑rimozione: ClayRat intercetta i tocchi, blocca i comandi dell’utente e sostituisce le azioni per impedire lo spegnimento del telefono o la disinstallazione del malware. A schermo possono comparire sovrapposizioni fasulle — per esempio una finestra di “aggiornamento di sistema” — che mascherano ciò che sta realmente accadendo. Un gioco di prestigio che finisce per far dubitare gli utenti di ciò che hanno davanti.
Per diffondersi, il trojan si traveste da app popolari: client di servizi video, messenger, servizi locali di taxi o parcheggio. Zimperium ha individuato oltre 25 domini esca, tra cui versioni contraffatte di YouTube Pro e Car Scanner ELM. Gli autori ospitano anche file APK su Dropbox, aggirando così i filtri di sicurezza. Puntare su marchi familiari e su un cloud legittimo rende l’inganno più credibile.
Una volta installato, ClayRat ottiene un controllo quasi totale: registra lo schermo tramite la MediaProjection API, intercetta le notifiche, altera le risposte e può rubare codici monouso o interferire con le conversazioni. Con un simile punto d’appoggio, persino le operazioni di routine potrebbero non comportarsi come ci si aspetta.