Hugging Face diventa un terreno fertile per malware Android: come funziona l'attacco?

ANALISI TECNICA

Meccanismo di distribuzione: La campagna utilizza un dropper chiamato TrustBastion, un'applicazione malevola che si presenta come strumento di sicurezza per rilevare minacce. Dopo l'installazione obbligatoriamente richiesta, l'app genera un alert di aggiornamento che imita l'interfaccia di Google Play, indirizzando gli utenti a un server collegato a trustbastion[.]com. Questo server reindirizza gli utenti a un repository Hugging Face che ospita il payload finale, un APK malvagio distribuito tramite la CDN del servizio.

Evitare la rilevazione: Il gruppo di attaccanti applica polimorfismo server-side, generando nuove varianti del payload ogni 15 minuti. Questo processo ha prodotto oltre 6.000 commit in un repository che, al momento dell'indagine, aveva 29 giorni di attività. La strategia mira a evitare l'identificazione da parte dei sistemi di sicurezza, sfruttando la reputazione di Hugging Face come piattaforma attendibile.

Funzionalità del payload: Il payload principale, un Remote Access Tool (RAT), sfrutta le Accessibility Services di Android per eseguire azioni invasive. Queste includono:

• Cattura schermate e monitoraggio dell'attività utente;
• Interfaccia falsa per il login di servizi finanziari (es. Alipay, WeChat);
• Stealing del codice di sblocco;
• Blocco di tentativi di disinstallazione;
• Comunicazione costante con un server C2 per esfiltrare dati e ricevere comandi.

Evitare la rimozione: Dopo la rimozione del repository da parte di Hugging Face, l'operazione è ripresa con un nuovo nome, 'Premium Club', mantenendo lo stesso codice malevolo ma aggiornando gli iconi. Bitdefender ha pubblicato indicatori di compromissione (IoCs) per il dropper, la rete e i pacchetti dannosi, fornendo strumenti per la rilevazione.

Raccomandazioni: Bitdefender consiglia agli utenti Android di evitare il download da app store di terze parti e di verificare attentamente le autorizzazioni richieste dagli app. La campagna evidenzia l'abuso di piattaforme di AI e ML, come Hugging Face, per distribuire malware, un trend già documentato in precedenti incidenti (es. malicious AI models).

Contesto: DI MERCATO/SICUREZZA

Abuso di piattaforme AI per la distribuzione di malware: La campagna di malware Android scoperta da Bitdefender evidenzia un trend crescente di utilizzo di piattaforme tecniche e di fiducia, come Hugging Face, per ospitare carichi utili dannosi. Questo approccio sfrutta la reputazione di tali piattaforme per evitare allarmi di sicurezza, un fenomeno già documentato in precedenti incidenti legati a modelli AI maliziosi.

Tattiche di evasione avanzate: La minaccia utilizza il polimorfismo server-side, generando nuove varianti del payload ogni 15 minuti, e si avvale di un server C2 per coordinare l’esfiltrazione dei dati. Il malware, dopo l’installazione di un’app dropper chiamata TrustBastion, imita le interfacce di Google Play per indurre gli utenti a scaricare il carico utile da un repository Hugging Face. Questo metodo riduce il rischio di rilevamento da parte dei sistemi di sicurezza tradizionali.

Impatto sul settore finanziario: Il payload finale, un remote access tool (RAT), sfrutta i servizi di accessibilità di Android per catturare schermate, bloccare tentativi di disinstallazione e impersonare interfacce di login di servizi come Alipay e WeChat. Questo rappresenta un rischio significativo per gli utenti e le istituzioni finanziarie, poiché le credenziali rubate possono essere utilizzate per frodi e attacchi mirati.

Risposta del settore: Bitdefender ha informato Hugging Face, che ha rimosso i dataset dannosi, e ha pubblicato indicatori di compromissione (IoC) per aiutare il settore a rilevare e mitigare l’attacco. Tuttavia, l’incidente sottolinea la necessità di maggiore collaborazione tra piattaforme tecnologiche e aziende di cybersecurity per prevenire l’abuso di infrastrutture di alto livello.

Consigli per gli utenti: Gli utenti Android sono invitati a evitare il download di app da fonti non ufficiali, a verificare attentamente le autorizzazioni richieste e a mantenere aggiornati i dispositivi. La campagna evidenzia anche l’importanza di una maggiore consapevolezza tra gli utenti riguardo ai rischi legati all’installazione di app che imitano strumenti di sicurezza.

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

1. Evitare fonti non attendibili Gli utenti Android devono evitare l'installazione di applicazioni da app store non ufficiali o da fonti esterne non verificate. L'installazione manuale di APK non firmati aumenta il rischio di infezione da malware. La campagna TrustBastion ha sfruttato proprio questa vulnerabilità, mimando Google Play per诱导 l'utente a scaricare un'app malevola.

2. Verificare le autorizzazioni richieste Ogni applicazione deve richiedere solo le autorizzazioni strettamente necessarie per il suo funzionamento. L'app TrustBastion, ad esempio, ha richiesto accesso a servizi di accessibilità e alla gestione dello schermo, autorizzazioni che permettono al malware di catturare schermate e bloccare l'eliminazione dell'app.

3. Monitorare l'uso di piattaforme AI Piattaforme come Hugging Face, sebbene attendibili, possono essere sfruttate da attori malintenzionati per ospitare payload malevoli. Gli utenti e gli investitori devono rimanere vigili e verificare l'origine dei modelli AI o dei dataset utilizzati, soprattutto se legati a progetti open source.

4. Aggiornamenti e strumenti di sicurezza Mantenere aggiornati dispositivi e applicazioni è essenziale per evitare vulnerabilità sfruttate da malware. Strumenti di sicurezza aggiuntivi, come antivirus specializzati in Android e soluzioni di monitoraggio delle autorizzazioni, possono rilevare comportamenti anomali, come l'accesso non autorizzato a servizi di accessibilità.

5. Segnalare attività sospette In caso di sospetta attività di phishing, di fake login o di comportamenti insoliti da parte di app installate, gli utenti devono segnalare immediatamente il problema a enti di sicurezza o alle piattaforme coinvolte (es. Hugging Face, Google Play). Bitdefender ha già segnalato il repository malevole, ma la collaborazione utente rimane cruciale.

Investitori: priorità nella cybersecurity Per gli investitori, è fondamentale valutare l'adozione di soluzioni di sicurezza avanzate, come l'analisi comportamentale del malware e il monitoraggio in tempo reale delle infrastrutture cloud. La campagna TrustBastion dimostra come le piattaforme AI, se non monitorate, possono diventare canali di distribuzione per attacchi a larga scala.

Riferimenti Malicious AI models on Hugging Face | Bitdefender report

La criminalità informatica sta sfruttando sempre di più piattaforme di alta reputazione come Hugging Face per distribuire malware, sfruttando la loro credibilità e l’assenza di avvisi di sicurezza. La campagna TrustBastion, rilevata da Bitdefender, dimostra come gli attaccanti possano evitare la rilevazione grazie a tecniche di polimorfismo server-side e all’utilizzo di infrastrutture CDN di terze parti. La capacità di generare nuove varianti ogni 15 minuti e il persistente adattamento del malware (es. il passaggio a Premium Club) indicano una evoluzione strategica da parte degli attaccanti, che mirano a rimanere anonimi e operativi.

L’abuso di piattaforme AI/ML come Hugging Face rappresenta un rischio crescente per la sicurezza digitale. La complessità del malware, che include screen overlay, interfacce di login false e accesso a servizi di accessibilità Android, sottolinea l’aumento della sofisticazione degli attacchi mirati agli utenti finali. La rimozione del repository da parte di Hugging Face e la pubblicazione degli indicatori di compromissione (IOCs) da parte di Bitdefender sono passi importanti, ma non bastano a prevenire futuri abusi.

Le previsioni future indicano un aumento dell’utilizzo di piattaforme legittime per l’hosting di carichi malevoli, con un focus su tecniche di evasione sempre più avanzate. Gli utenti Android devono rimanere vigili, evitando app di terze parti e verificando attentamente le richieste di permessi. Per le aziende, la collaborazione tra piattaforme tecnologiche e organizzazioni di cybersecurity sarà cruciale per mitigare rischi simili. La campagna TrustBastion serve come avvertimento sull’importanza di monitorare costantemente le infrastrutture digitali e di adottare misure proattive per contrastare l’uso illegittimo di tecnologie emergenti.

Per ulteriori dettagli, si rimanda al rapporto di Bitdefender: Bitdefender: Android Trojan Campaign.