Gli hacker si muovono anche su TikTok: hanno diffuso un’app che promette di denudare tutti gli utenti
Gli hacker stanno sfruttando una challenge virale su TikTok per rubare dati, password e carte di credito. La sfida si chiama Invisible Challenge: gli utenti si filmano nudi e poi utilizzano un filtro che sostituisce il corpo con un effetto sfocato. Il risultato sono sagome spettrali che fluttuano. Poi a un certo punto è sbucato un video dove veniva sponsorizzato un software in grado di spogliare i corpi dal filtro, lasciandoli nudi.
Una volta scaricato il programma, la promessa non viene mantenuta. Al posto dei corpi svestiti appaiono malware e milioni di persone ci sono cascate. La truffa sfrutta tutti i punti di forza di Tiktok, la viralità, la curiosità, la challenge, inaugurando così il social come nuovo terreno di caccia per gli hacker affamati di dati da rubare.
La scoperta di Checkmarx
La società di sicurezza Checkmarx ha svelato lo schema criminale che sfrutta l’Invisible Challenge. La sfida è nata due anni fa su Tiktok, e utilizza un filtro che agisce come uno schermo verde e può farti sembrare invisibile. Diverse persone hanno quindi filmato o fotografato i loro corpi nudi, coperti poi dal filtro dell'invisibilità.
I ricercatori di Checkmatx hanno scoperto due video pubblicati su TikTok che sponsorizzavano un software in grado di mostrare i corpi nudi protetti dal filtro. Hanno quindi seguito le indicazioni dei video e sono finiti in una chat Discord. Una volta entrati i ricercatori hanno scoperto che il gruppo contava già oltre 32.000 utenti. Meglio, 32.000 persone truffate.
Cosa succede se il software viene scaricato?
Dopo aver cliccato sul link indicato nei video, le vittime vengono accolte da un bot che le reindirizza a una directory di GitHub. Il software scaricato, naturalmente, contiene un malware, il WASP Stealer. Una volta installato è in grado di rubare informazioni sensibili, che gli hacker utilizzano poi per diffondere altre truffe sulla piattaforma: carte di credito, portafogli crittografici e password.
“Questi attacchi dimostrano ancora una volta che gli hacker stanno concentrando la loro attenzione sull’ecosistema dei pacchetti open-source. Riteniamo che questa tendenza non potrà che accelerare nel 2023”, scrive Checkmarx. Il metodo è così efficace che il repository GitHub dannoso è di tendenza sul sito.
TikTok, il un nuovo strumento per gli hacker
Per rendere più credibile la truffa, gli hacker hanno confezionato dei video ad hoc dove promuovono il software, spiegano come installarlo e mostrano live l’eliminazione del filtro invisible body. Il video pubblicato l’11 novembre 2022 dagli account Learcyber e Kodibtc ha raccolto più di un milione di visualizzazioni. "Il formato breve e condivisibile dei video di TikTok fa in modo che i contenuti possono diventare rapidamente virali, attirando migliaia, se non milioni, di occhi in un breve lasso di tempo", ha dichiarato Jamie Akhtar, CEO e co-fondatore di CyberSmart a Forbes. "Non c'è da meravigliarsi quindi che i criminali informatici sfruttino queste tendenze come veicolo per le loro truffe".
Non a caso hanno scelto proprio di giocare con i nudi al fine di solleticare gli utenti e incentivarli a scaricare il software. “Offrendo un potenziale strumento che potrebbe ‘non filtrare' l'effetto, gli attori delle minacce sfruttano la curiosità, la paura e persino il lato malizioso delle persone per scaricarlo. Naturalmente le affermazioni degli aggressori sono false e le persone truffate se ne accorgeranno quando il malware è stato installato".
