ArcticRAT, il malware Android che da ladro di cripto diventa padrone del telefono e profila le finanze delle vittime con l'IA

Un gruppo di cybercriminali dietro ArcticRAT, un malware per Android, ha cambiato passo. Secondo quanto riportato da Dark Reading, la minaccia è nata con un obiettivo piuttosto circoscritto, il furto di criptovalute, ma si è evoluta fino a concedere agli attaccanti il controllo completo del telefono infetto. La sigla RAT sta per Remote Access Trojan: un programma che si traveste da qualcosa di innocuo e, una volta installato, permette a una persona lontana di manovrare il dispositivo come se lo avesse in mano.

La novità più interessante, però, non riguarda solo ciò che il malware sa fare sul telefono, ma ciò che i suoi operatori fanno dopo. La banda avrebbe infatti aggiunto un'analisi avanzata delle informazioni sottratte, con l'uso dell'intelligenza artificiale, per ricostruire il profilo finanziario di chi è stato infettato. È il passaggio da una pesca a strascico a una selezione mirata: prima si raccoglie tutto, poi si decide dove vale la pena insistere.

Dal furto di cripto al controllo totale

All'inizio ArcticRAT si concentrava sulle criptovalute, cioè sul prelevare o dirottare asset digitali custoditi su portafogli installati sullo smartphone. È un bersaglio comodo per i criminali: le operazioni sono rapide, difficili da annullare e spesso gestite proprio da app mobili. Un malware specializzato in questo ambito ha però un limite evidente, perché rende solo quando la vittima possiede davvero cripto.

Allargare le capacità al controllo completo del dispositivo risolve il problema. Un telefono sotto il pieno comando di un attaccante non serve più soltanto a svuotare un portafoglio: diventa una finestra su messaggi, applicazioni bancarie, notifiche e abitudini quotidiane. La fonte descrive questo salto come un'espansione di obiettivi; i dettagli tecnici su come l'accesso venga ottenuto e mantenuto vanno verificati nei rapporti degli analisti, e qui non li ipotizziamo.

Il furto non finisce con la copia dei dati: finisce quando i criminali hanno deciso quale vittima vale la pena di spremere.

L'intelligenza artificiale al servizio del profilo finanziario

Rubare dati è soltanto metà del lavoro: bisogna anche capire cosa contengono. Un telefono pieno di messaggi, screenshot, elenchi di app e movimenti può produrre una quantità di materiale difficile da leggere a mano, soprattutto se le vittime sono numerose. Qui entra in gioco l'analisi automatizzata, che secondo la fonte permette ai criminali di valutare la situazione economica di ciascuna persona colpita.

Il risultato pratico è una classifica implicita delle vittime. Chi appare benestante, o ha ingenti somme in conto o in cripto, può diventare oggetto di attenzioni più mirate, mentre gli altri vengono accantonati. Va detto con onestà che la fonte parla di analisi avanzata e di IA in termini generali: quali modelli vengano usati e con che precisione resta fuori dal quadro che possiamo confermare.

Cosa possono fare utenti e aziende

Le difese contro un trojan di accesso remoto su Android sono in larga parte quelle di sempre, e proprio per questo spesso trascurate. Installare app solo dagli store ufficiali, diffidare di file APK ricevuti via chat o link, e guardare con sospetto qualunque app che chieda permessi speciali, come l'accesso di accessibilità, sono le abitudini che riducono di più il rischio. Mantenere il sistema aggiornato e lasciare attivo Google Play Protect completa il quadro.

Per le organizzazioni, dove i telefoni dei dipendenti toccano posta, conti aziendali e a volte wallet di cripto, conviene usare soluzioni di gestione dei dispositivi mobili e controlli periodici sulle app installate. Sotto trovate un controllo difensivo di base, da eseguire su un dispositivo di cui siete proprietari con il debug USB attivo: elenca le app di terze parti e i servizi di accessibilità abilitati, due punti dove i malware di questo tipo tendono a lasciare tracce. Non è un rilevatore di ArcticRAT in particolare, ma aiuta a individuare anomalie.

# Esegui solo su dispositivi di tua proprietà, con debug USB attivo
adb devices

# App installate dall'utente (non di sistema)
adb shell pm list packages -3

# Servizi di accessibilità attualmente abilitati
adb shell settings get secure enabled_accessibility_services

# Se compare un servizio che non riconosci, verifica l'app e valuta di rimuoverla
# adb uninstall <nome.pacchetto.sospetto>

Perché conta. ArcticRAT mostra una tendenza che va oltre il singolo malware: i gruppi criminali non si limitano a rubare, ma usano l'intelligenza artificiale per dare un valore alle vittime e concentrare gli sforzi dove il ritorno economico è più alto. Per chi usa lo smartphone come banca, portafoglio e strumento di lavoro, questo significa che un'infezione non è più un incidente da poco: può trasformarsi in un attacco su misura. La prudenza sulle app installate e sui permessi concessi resta la barriera più efficace e meno costosa.