App infette negli store Apple e Google: come eludono i sistemi di sicurezza e come proteggersi

Le app infette presenti nei marketplace di Android e iOS contengono un kit di sviluppo software (SDK) malevolo, progettato per rubare le frasi di recupero dei portafogli di criptovalute utilizzando stealer a riconoscimento ottico (optical character recognition, OCR).

“La scoperta della campagna è preoccupante in quanto ci troviamo dinanzi ad una nuova minaccia distribuita anche attraverso Google Play store e Apple App store e quindi in grado di eluderne i controlli“, commenta Pierluigi Paganini, analista di cyber security e CEO Cybhorus.

“Nonostante le policy di sicurezza sempre più restrittive e i controlli implementati da Google e Apple, i cybercriminali riescono a eludere i sistemi di verifica attraverso tecniche sempre più sofisticate, come l’uso di payload dannosi attivati solo dopo il download o interazioni con server di comando e controllo per evitare rilevamenti“, conferma Sandro Sana, Cybersecurity Division Manager.

Come proteggersi dalla campagna malware scoperta da Kaspersky.

App infette sui marketplace di Apple e Google

La campagna è chiamata “SparkCat”, che prende il nome da “Spark”, uno dei componenti SDK malevoli presenti nelle app infette, con gli sviluppatori che probabilmente non partecipano consapevolmente all’operazione.

Sono 18 le app infette sul marketplace di Google 10 quelle su Apple App store.

“Preoccupa che molte di queste app siano state scaricate centinaia di migliaia di volte, e che alcune siano ancora disponibili sugli store”, mette in guardia Paganini.

Secondo Kaspersky, soltanto su Google Play, dove i numeri dei download sono pubblicamente disponibili, le app infette sono state scaricate oltre 242.000 volte. Non più disponibile, soltanto l’app Android ChatAi ha registrato oltre 50mila installazioni.

“Abbiamo trovato app per Android e iOS che avevano un SDK/framework malevolo incorporato per rubare frasi di recupero dei portafogli di criptovalute, alcune delle quali erano disponibili su Google Play e App Store”, spiega Kaspersky: “Questo è il primo caso noto di furto di dati nell’App Store“.

Infatti, “si tratta del primo caso documentato di un stealer presente sullo marketplace di Apple, una piattaforma solitamente ritenuta più sicura rispetto a Google Play store”, conferma Paganini.

Ma questo caso ci ricorda che “affidarsi ciecamente agli store ufficiali è un errore che può costare caro“, mette in guardia Sandro Sana: “Il fatto che un’app sia su Google Play o sull’App Store non significa che sia sicura: il malware evolve, e anche i controlli più rigidi possono essere aggirati. Quando si tratta di criptovalute, un solo passo falso può essere irreversibile“.

I dettagli

L’SDK dannoso sulle applicazioni Android infette utilizza un componente Java dannoso chiamato “Spark”, camuffato da modulo di analisi. Utilizza un file di configurazione crittografato memorizzato su GitLab, che fornisce comandi e aggiornamenti operativi.

Sulla piattaforma iOS, il framework ha nomi diversi come “Gzip”, ‘googleappsdk’ o “stat”. Inoltre, utilizza un modulo di rete basato su Rust chiamato “im_net_sys” per gestire la comunicazione con i server di comando e controllo (C2).

Il modulo utilizza l’OCR di Google ML Kit per estrarre il testo dalle immagini presenti sul dispositivo, cercando di individuare frasi di recupero che possono essere utilizzate per caricare portafogli di criptovalute sui dispositivi degli aggressori senza conoscere la password.

“Il componente dannoso carica diversi modelli OCR a seconda della lingua del sistema per distinguere i caratteri latini, coreani, cinesi e giapponesi nelle immagini”, spiega Kaspersky.

“Poi, l’SDK carica le informazioni sul dispositivo sul server di comando lungo il percorso / api / e / d / u e, in risposta, riceve un oggetto che regola il successivo funzionamento del malware”.

“Interessante è la tecnica dell’utilizzo di sistemi per il riconoscimento ottico dei caratteri (OCR) per rubare le frasi di recupero dei portafogli di criptovalute, tattica osservata già nel 2023 dagli esperti di ESET ed evidentemente ancora estremamente efficace”, sottolinea Paganini.

Il malware cerca immagini contenenti segreti utilizzando parole chiave specifiche in diverse lingue, che cambiano a seconda della regione (Europa, Asia ecc.).

Kaspersky afferma che, sebbene alcune app mostrino un targeting specifico per la regione, non si può escludere la possibilità che operino al di fuori delle aree geografiche designate.

Come proteggersi

Il caso delle app infette sui marketplace ufficiali dimostra che occorre consapevolezza. Bisogna “diffidare dalle app sconosciute, analizzare sempre permessi e recensioni, ricordandosi che, nel mondo digitale, la fiducia cieca (come quella negli store ufficiali, ndr) è il preludio alla truffa“.

Dovremmo tutti imparare a scaricare solo le app strettamente necessarie, scelte con cura, e disinstallarle quando non servono più.

Se una di queste applicazioni è presente su un dispositivo, si consiglia di disinstallarla immediatamente e di usare uno strumento antivirus per cellulari per scansionare eventuali residui. Si dovrebbe anche prendere in considerazione un reset di fabbrica.

Inoltre, la memorizzazione delle frasi di recupero dei portafogli di criptovalute negli screenshot è una pratica da evitare.

“Per proteggersi, è fondamentale evitare di salvare screenshot contenenti chiavi di accesso o frasi di recupero, si raccomanda inoltre di verificare periodicamente la presenza di app sospette sui propri dispositivi ed effettuare scansioni con software antivirus efficaci”, conclude Paganini.

È invece consigliabile archiviarle in supporti fisici offline, dispositivi di archiviazione rimovibili crittografati o nel caveau di gestori di password offline autogestiti.

“Questi attacchi dimostrano ancora una volta che la cyber security non è mai statica e che la fiducia negli ecosistemi chiusi non può sostituire un’adeguata consapevolezza da parte degli utenti”, avverte Sana: “La prudenza è la prima linea di difesa, soprattutto nel mondo delle criptovalute, dove una singola transazione fraudolenta può essere irreversibile“.