La notizia è presto raccontata, ma le conseguenze non si esauriscono altrettanto in fretta. Su indicazione di Integral Ad Science (IAS), azienda americana dedita alla misurazione e all’ottimizzazione dei media digitali, Google ha rimosso 180 app dal Play Store.
Può sembrare una pulizia di poco conto se paragonata a simili operazioni passate. Nel 2017, a titolo di esempio, Big G ha cancellato 700mila app (in media oltre 1.900 al giorno).
La differenza risiede nelle 180 app, prelevate in totale 56 milioni di volte, vettori di una minaccia che Integral Ad Science ha soprannominato Vapor e che, per l’appunto, fa “evaporare” le funzionalità delle app originali invadendo di pubblicità l’esperienza d’uso dei dispositivi Android. E questo nonostante Google, con regolarità, corregga le falle delle diverse versioni del sistema operativo anche con l’obiettivo – toute proportion gardée – di ridurne la superficie d’attacco.
Parallelamente, un annuncio simile è stato fatto da Bitdefender. Procediamo con ordine.
Indice degli argomenti
Vapor, Google e le app sul Play Store
Nella loro versione originale, le app fraudolente vengono pubblicate su Google Play decantando delle funzionalità che attirano gli utenti, ma il loro scopo è prettamente quello di invadere i dispositivi di pubblicità.
Le frodi pubblicitarie fanno meno paura di altre minacce come, per esempio, gli attacchi di phishing oppure malware in genere, ma sono in grado di procurare introiti illeciti agli aggressori, fondi che vengono impiegati per scopi criminosi più pericolosi.
L’evoluzione appare chiara: non si tratta più di pubblicare false app che richiamano le più popolari (in questo filone si inseriscono le applicazioni di instant messaging o quelle usate durante la pandemia) e che sottraggono dati agli utenti che le istallano.
Oggi le minacce si fanno più intense di numero e più insidiose, come dimostra il recente spyware nordcoreano KoSpy.
Le rilevazioni di Bitdefender
Il 18 marzo l’azienda rumena di cyber security Bitdefender, ha pubblicato una ricerca con cui esamina da vicino una campagna che include 331 app dannose pubblicate su Google Play.
La peculiarità di queste app è quella di eludere le misure di sicurezza di Android. Prelevate 60 milioni di volte, queste app sottraggono diversi tipi di dati, tra i quali credenziali e numeri di carte di credito.
Tanto Vapor quanto le minacce individuate da Bitdefender agiscono senza l’interazione degli utenti e nascondono le icone dal launcher, affinché siano difficili da scovare anche per gli occhi più esperti.
I rimedi
I metodi per ridurre i rischi ci sono, ciò che cambia è la sempre più stringente necessità di metterli in atto.
Le minacce stanno evolvendo, così come sottolinea l’ingegner Pierluigi Paganini, Ceo Cybhorus e direttore dell’osservatorio sulla Cybersecurity Unipegaso: “Gli attacchi a dispositivi mobili sono in crescita, così come il livello di sofisticazione delle minacce. Purtroppo, molte app malevoli continuano a sfuggire ai controlli del Play Store, sfruttando tecniche avanzate come l’offuscamento del codice, l’attivazione ritardata delle funzioni dannose e il download di malware da server remoti.
Non di rado, Google ha agito solo dopo segnalazioni di aziende di sicurezza evidenziando un ritardo nella rilevazione proattiva. Il sistema di certificazione delle app dovrebbe essere più rigoroso, con verifiche periodiche ed accurate post-pubblicazione.
Va detto che la sfida è complessa, e l’azienda mette in campo tutte le sue capacità per proteggere gli utenti”.
Le regole per difendersi sono sempre le medesime:
- Aggiornare il sistema operativo.
- Prelevare le app strettamente necessarie seguendo i canali ufficiali e mai affidarsi. a pacchetti pubblicati su siti esterni al Play Store.
- Dotarsi di un software antivirus (ai quali abbiamo dedicato un articolo).
- Verificare le autorizzazioni richieste dalle app: un’app per le previsioni meteo può avere ragionevolmente accesso alla posizione dell’utente ma non alla videocamera o al microfono.
La situazione, nel complesso, è semplice: agli utenti il compito di proteggere i rispettivi dispositivi (e loro stessi) perché Google, nonostante tutti gli sforzi profusi, non è in grado di farlo al di là di ogni ragionevole dubbio.
