Il trojan bancario Coyote, già noto per colpire decine di app bancarie e di criptovalute, ha ricevuto un aggiornamento che lo rende ancora più pericoloso: ora è in grado di identificare conti bancari e piattaforme crypto aperti direttamente nel browser, secondo quanto riportato dagli esperti di sicurezza informatica di Akamai.
In precedenza, Coyote operava attraverso keylogger o overlay di phishing, riuscendo a sottrarre credenziali da 75 app di banche e exchange di criptovalute. Tuttavia, se l’utente accedeva a questi servizi tramite browser, il malware non si attivava.
L’evoluzione di Coyote rappresenta un rischio crescente per gli utenti, e sottolinea la necessità di strumenti di sicurezza aggiornati e comportamenti digitali prudenti.
Il Brasile preso di mira
Il malware Coyote continua a evolversi, e ora sfrutta il framework UI Automation (UIA) di Microsoft, un sistema pensato per l’accessibilità su Windows che consente ai software di interagire con interfacce grafiche, come pulsanti, menu o barre di navigazione.
UIA è utile, ad esempio, per i lettori di schermo o i sistemi di test automatizzati, perché permette di “leggere” e persino interagire con gli elementi visivi di un'app. Secondo Akamai, Coyote è ora in grado di leggere l’indirizzo web presente nelle schede o nella barra degli indirizzi del browser, confrontandolo con una lista predefinita di 75 servizi bancari e crypto.
Se individua una corrispondenza, il malware utilizza ancora UIA per analizzare gli elementi figli dell’interfaccia, cercando di identificare schede o barre degli indirizzi. “Il contenuto di questi elementi viene poi ricontrollato rispetto alla stessa lista di indirizzi”, spiegano i ricercatori.
Akamai segnala che Coyote colpisce principalmente utenti in Brasile, prendendo di mira istituti come Banco do Brasil, CaixaBank, Banco Bradesco, Santander, Original Bank, Sicredi, Banco do Nordeste, oltre a varie app di investimento e exchange di criptovalute come Binance, Electrum, Bitcoin, Foxbit e altri.
Gli esperti avevano già messo in guardia sul possibile abuso del framework UIA a fini di furto credenziali alla fine del 2024. Ora, con Coyote che adotta questo metodo sul campo, il rischio è diventato realtà.
Via BleepingComputer