StreamRat, il trojan Android diffuso con falsi annunci di streaming su Meta

Una campagna rivolta agli utenti spagnoli

ThreatFabric ha pubblicato il 2 settembre 2026 l’analisi di StreamRat, un nuovo trojan bancario per Android capace di ottenere un controllo quasi completo dei dispositivi infetti. Il malware è stato promosso attraverso una falsa offerta di streaming televisivo indirizzata soprattutto agli utenti di lingua spagnola, con particolare attenzione alla Spagna.

La campagna pubblicitaria su Meta è rimasta attiva dall’11 giugno 2026 al 3 luglio 2026 ed è stata individuata alla fine di luglio 2026. Secondo i dati disponibili, gli annunci potrebbero avere raggiunto 570.950 account Meta nell’Unione Europea, ciascuno esposto almeno una volta.

Questa cifra misura la portata potenziale della pubblicità, non il numero delle infezioni. Non sono stati comunicati né il totale dei dispositivi compromessi né quello delle vittime confermate.

I banner potrebbero essere apparsi sia su Facebook sia su Instagram, ma non è stato determinato quale servizio abbia rappresentato il principale canale di distribuzione. Sono emersi anche elementi collegati a TikTok: il codice della pagina usata per distribuire l’APK era in grado di riconoscere TikTok come applicazione di provenienza. Non sono però disponibili inserzioni verificabili o dati che dimostrino la portata di un’eventuale campagna sulla piattaforma.

Dal falso servizio TV all’installazione di due APK

L’infezione non sfrutta una vulnerabilità di Android. Richiede invece che la vittima scarichi manualmente un’applicazione esterna e approvi una sequenza di richieste particolarmente invasive.

L’annuncio conduce a un sito controllato dagli operatori. La pagina identifica il sistema operativo del visitatore e, nel caso di Android, presenta il pulsante per scaricare un file denominato app.apk.

Questo primo APK agisce da dropper, cioè da componente incaricato di preparare il dispositivo e installare il malware principale. Dopo l’avvio chiede di diventare l’applicazione Home predefinita. Se l’utente accetta, l’interfaccia del dropper torna in primo piano ogni volta che viene premuto il pulsante Home, rendendo più difficile interrompere la procedura.

Il programma domanda poi il permesso di creare una connessione VPN. Una volta autorizzata, la VPN indirizza il traffico del dispositivo verso un’interfaccia che non inoltra realmente i dati, mentre esclude il dropper stesso dal blocco. Le altre applicazioni perdono temporaneamente l’accesso a Internet, ma il componente malevolo può continuare a scaricare il payload.

StreamRat viene depositato nella directory pubblica Downloads con un nome nel formato:

update_{timestamp}.apk

Il dropper induce quindi l’utente ad abilitare l’installazione da origini sconosciute e avvia il normale meccanismo Android per installare il secondo pacchetto. Dopo l’esecuzione del payload, la VPN viene terminata e la connettività torna disponibile. A quel punto StreamRat può contattare la propria infrastruttura di comando e controllo.

La disconnessione sembra progettata per interferire con i controlli di reputazione online e con alcune verifiche effettuate durante l’installazione. La tecnica non neutralizza completamente Google Play Protect, che conserva capacità di rilevamento offline per le applicazioni dannose già conosciute.

Accessibility apre la strada al controllo remoto

Dopo l’avvio, StreamRat richiede l’accesso ai servizi Android di Accessibility. Queste funzioni sono pensate per assistere le persone con disabilità, ma concedono anche una visibilità profonda sull’interfaccia e la possibilità di interagire con gli elementi visualizzati.

Con il permesso attivo e il collegamento al server C2, gli operatori possono registrare ciò che viene digitato, leggere il contenuto mostrato sullo schermo e impartire comandi da remoto. Il malware può inoltre sovrapporre finestre contraffatte alle applicazioni legittime, inducendo la vittima a inserire credenziali bancarie o altri dati riservati.

StreamRat dispone di due modalità per catturare lo schermo. La prima utilizza l’API Android MediaProjection, che normalmente mostra una richiesta di consenso e un indicatore durante la condivisione. Dopo avere ottenuto Accessibility, il trojan può però interagire con la finestra di autorizzazione, riducendo il controllo effettivo esercitato dall’utente.

La seconda modalità sfrutta il metodo Accessibility takeScreenshot(). Questa strada consente di acquisire immagini senza affidarsi all’indicatore normalmente associato a MediaProjection.

Combinando screenshot, keylogging, overlay e controllo dell’interfaccia, gli operatori possono sorvegliare le attività della vittima e interagire con applicazioni finanziarie. Il rischio non riguarda quindi soltanto le password: possono essere esposti codici temporanei, messaggi, saldi, dati personali e informazioni visualizzate durante una sessione bancaria.

Non è stato pubblicato un intervallo preciso di versioni Android interessate o compatibili. L’esposizione dipende soprattutto dall’installazione dell’APK esterno e dalla concessione delle autorizzazioni richieste.

Le somiglianze con la precedente operazione Mirax

Il payload analizzato proveniva da un account GitHub che ThreatFabric collega a una campagna precedente chiamata Mirax. Anche il dropper presenta forti somiglianze con il software impiegato in quell’operazione.

Un’analisi di Cleafy su Mirax aveva descritto l’uso delle release di GitHub per ospitare i dropper, accompagnato da collegamenti alternativi e aggiornamenti quotidiani dei pacchetti. StreamRat potrebbe quindi inserirsi in una continuità operativa basata sulle stesse tecniche di distribuzione e su parti dell’infrastruttura già utilizzata.

Gli elementi disponibili non permettono tuttavia un’attribuzione definitiva. ThreatFabric ritiene probabile il coinvolgimento di sviluppatori con esperienza nel malware Android, ma non ha assegnato StreamRat a un gruppo criminale nominato.

Package, hash e server da cercare

Amministratori e responsabili della sicurezza mobile possono verificare la presenza dei due campioni identificati.

Indicatore	Campione 1	Campione 2
Nome applicazione	StrεαmTV Pro	Sistema de vídeo
Package	io.base.one887	io.meat.hint
SHA-256	e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c	ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3

Gli indirizzi IP associati all’infrastruttura C2 sono:

45.147.28[.]59
193.32.2[.]245

Oltre agli indicatori statici, occorre cercare modifiche anomale alla configurazione del dispositivo: nuove applicazioni Home predefinite, VPN create di recente, Accessibility concessa a software sconosciuto e autorizzazioni per la registrazione dello schermo.

La directory Downloads merita un controllo specifico. La presenza di file con schema update_{timestamp}.apk, soprattutto insieme a uno dei package indicati, costituisce un segnale rilevante. Gli hash permettono un’identificazione precisa dei campioni conosciuti, ma varianti ricompilate potrebbero produrre valori differenti.

Come intervenire su un dispositivo sospetto

Un’applicazione per lo streaming non ha una ragione legittima per diventare il launcher predefinito, creare una VPN, installare altri APK e ottenere il controllo di Accessibility. La combinazione di queste richieste dovrebbe portare all’interruzione immediata dell’installazione.

Google Play Protect deve rimanere attivo. Pur non garantendo il blocco di ogni variante, può riconoscere offline applicazioni potenzialmente dannose già catalogate.

Se si sospetta un’infezione, il dispositivo va isolato dalla rete. Occorre quindi revocare Accessibility, rimuovere eventuali privilegi legati alla schermata Home, cancellare le VPN sconosciute e disinstallare i package malevoli. Gli APK residui nella cartella Downloads devono essere eliminati dopo avere raccolto gli elementi necessari per l’analisi.

La bonifica tecnica non esaurisce il problema. Tutte le credenziali utilizzate sul telefono durante la possibile compromissione devono essere considerate esposte, in particolare quelle bancarie. È opportuno cambiarle da un dispositivo affidabile, verificare le sessioni attive e controllare operazioni finanziarie o accessi non riconosciuti.