Attenzione: al momento GhostTeam ha sostituito già ben 56
applicazioni dal ‘Google Store’ sottraendo quelle sane con altre
identiche malevoli: una piaga per chi dovesse scaricarne una tra le
tante. Prestate attenzione alle notifiche particolarmente verso una
che riporta in descrizione: ‘Protected’. La Google ha già
inviato una protezione denominata ‘ Google Play Protect’ che
basandosi sull’auto-apprendimento esegue un’analisi verso
qualsiasi applicazione installata sul dispositivo rimuovendo quelle
che identifica essere infette. Qualora non vi fosse arrivata o magari
avete eliminato la notifica, a fine pubblicazione trovate la
procedura per poterla avviare nuovamente.
Gli episodi che si sono ripetuti non sono assolutamente da
sottovalutare essendo stati molti e tutti con il solito obiettivo:
sottrarre dati e accesso dei profili su Facebook. Questa volta
l’oggetto della minaccia naviga attraverso le applicazioni del
‘Chrome Web Store’, quelle maggiormente piacevoli o realizzate
per migliorare le prestazioni del browser che finiscono col veicolare
un nuovo tipo di malware.
Le proiezioni di questa nuova infezione sono state portate alla
luce come il loro obiettivo.
GhostTeam, questo è il nome del malware che approfittandosi del
fatto che la Google concede pieno accesso sul proprio Store affinché
i propri utenti possono aggiungere un qualsiasi componente
aggiuntivo, passando inosservato organizza la propria attività
eseguendo uno ‘scambio di merce’ ovvero sostituendo
un’applicazione sana con una infetta mantenendone la stessa
identità, così che nel tentativo di favorire le prestazioni di
Chrome, l’utente finisce in un vero e proprio calvario. Un’ottima
occasione, infatti è ben risaputo che sottrarre migliaia di account
determina un ottimo guadagno attraverso affari da realizzare negli
scantinati del web.
Le due società di sicurezza informatica che si sono occupate
dell’avvento: Trend Micro e Avast, hanno dichiarato che
GhostTeam ha infettato già ben 56 applicazioni appartenenti a
diverse categorie così da creare una mappatura di applicazioni
infette molto ampia. Il riferimento volge verso diverse categorie
dove risiedono: applicazioni di utilità come la torcia, lo scanner
dei codici QR, la bussola e quant’altro; categorie preposte ad
apportare vantaggi alla connessione di rete; altre che favoriscono
il trasferimento di file, quelle addette alla pulizia del sistema,
all’intrattenimento …… talmente capillarizzate da renderne
difficile l’identificazione disponendo particolarmente di una
proprietà con la quale riescono a camuffarsi perfettamente.
Sui dispositivi Android queste applicazioni risultano essere
presenti prive di codice malevolo, così da riuscire ad accedere
tranquillamente nel ‘Play Store’ ufficiale della Google.
Cosa avviene una volta installata una di queste app
Prima di tutto il malware esegue un’accurata diagnosi per
verificare l’identità dell’ambiente in cui si trova: appurandosi
innanzi tutto di non trovarsi in un emulatore o in un ambiente
virtuale. Una volta che è riuscito ad accertarsi delle proprietà
dell’ambiente, apre le porte al ‘Payload’ attraverso
l’autorizzazione che riesce ad ottenere dalla vittima
inconsapevole, così da garantirsi l’accesso con diritti di
amministratore.
A questo punto esegue un particolare downloader attraverso il
quale ottiene tutte le informazioni del dispositivo sul quale si è
introdotto: ID univoco, lingua, posizione e parametri di
visualizzazione. Questo è quanto affermano gli esperti di sicurezza
della Avast.
La posizione del dispositivo non viene rilevata attraverso il GPS
ma tracciando l’indirizzo IP quando l’utente prende contatto con
i servizi che offrono informazioni sulla geolocalizzazione degli IP
in modalità online come ad esempio attraverso: Trasir, mio IP,
GeoIPs addirittura attraverso applicazioni di messaggistica come
Whatsapp e Messenger Facebook.
Quando un utente apre un’applicazione infetta, per acquisire le
informazioni dei profili Facebook il malware invece di ricercare
possibili vulnerabilità del sistema o dell’applicazione stessa,
richiama un ulteriore malware denominato: ‘WebView’ con il quale,
attraverso la tecnica di pishing, crea una finta pagina di accesso su
Facebook inducendo gli utenti a loggarsi per effettuare un immediato
controllo del proprio account. In tal modo invece di accedere
finiscono in una pagina inesistente mentre i dati viaggiano chissà
verso quale direzione. Un finale che permette ai truffatori di
terminare in parte l’azione intrapresa.
GhostTeam crea e lancia annunci e pop-up in maniera aggressiva al
fine di impedire al dispositivo infetto di andare in stallo. Agendo in background fa in odo che il tutto avvenga rimanendo all'oscuro mentre la comparsa continua di annunci mantiene attivo il sistema
aumentandone il tempo di operabilità. Tutto questo secondo Avast
con molta probabilità è dovuto agli sviluppatori che tendono a
utilizzare Browser Web incorporati nelle applicazioni che realizzano,
invece di adoperare una normale pagina del Browser sul PC.
I ricercatori appartenenti alla società Trend Micro mettono in
guardia gli utenti poiché le credenziali che vengono sottratte da
Facebook, possono essere utilizzate a loro volta per veicolare e
consegnare malware maggiormente aggressivi se non addirittura per
creare una serie di ‘account compromessi’ in gergo definiti: 'Account Zombie' attraverso i quali
eseguire le più disparate azioni illecite, come la pubblicazione di
‘Fake news’ se non addirittura realizzare malware per operare
verso la criptovaluta
Non da meno l’idea di utilizzare le credenziali stesse per
esporle a operazioni finanziarie o per attività di identificazione
personale, da rivendere nei lati meno graziati del web. Insomma i
nostri dati hanno un valore pertanto rimane opportuno proteggerli in
qualsiasi modo. Comunque sia da quello che hanno dedotto entrambi le
società di sicurezza, riguarda il fatto che GhostTeam sia stato
sviluppato e introdotto nel Play Store da uno sviluppatore
vietnamita, fatto a cui sono risaliti attraverso l’identificazione
di una parte del linguaggio del codice riportato appunto in questa
lingua. Dettano inoltre che maggior parte delle vittime risiedono in
zone tipo: India, Brasile, Vietnam e Filippine .
I rimedi che sono stati adottati non si sa bene se coprano le
intere applicazioni e comunque i componenti aggiuntivi a livello
totalitario, oltre tutto pur se così fosse non si sa per quanto la
situazione volgerà nel sereno. Sono state rimosse tutte le
applicazioni questo è un dato di fatto mentre chi ha acquisito il
malware deve appurarsi di aver attivato: Google Play Protect, una
protezione che si avvale dell’auto-apprendimento e di una analisi
verso l’utilizzo delle applicazioni per identificare e rimuovere
automaticamente tutte quelle malevoli presenti nei dispositivi
smartphone Android
Malgrado questa tipologia di applicazioni sia stata
momentaneamente isolata e rimossa, il particolare che desta maggior
preoccupazione rimane quello di essere passate dal Play Store
ufficiale e il fatto non permette una buona previsione. Qualora fosse
così, gli esperti in sicurezza consigliano di essere sempre vigili
quando procediamo per scaricarne una e verificare con molta
attenzione: revisioni e autorizzazioni della stessa prima di
selezionare sul pulsante: installa.
Ulteriore prezioso consiglio riguarda l’installazione di
un’applicazione antivirus che sia in grado di intercettare e
bloccare la minaccia introdotta prima che infetti l’intero
dispositivo.
Rimane importantissimo eseguire puntualmente gli aggiornamenti di
sistema e delle applicazioni installate, mentre per quelle che sono
state installate non attraverso il Play Store ma utilizzando percorsi
manuali o appartenenti a fonti esterne potrete installare e
utilizzare l’apposito: UpkUpdater
Eseguite il prima possibile l’accesso sulla pagina di supporto
Google per avviare ‘Google Play Protected’
Pagina Supporto Google
Prestate attenzione quando installate un'applicazione e eseguite le procedure dettate per garantire una perfetta integrità al vostro Smartphone Android: i rischi sono alti dal momento che non sono stati sviluppati da studenti al primo anno di informatica ma da veri e propri Hacker che come avete potuto leggere riescono a maggiorare l'effetto della minaccia inserendo un malware all'interno di un altro.
Siete profondamente invitati a non copiare argomenti
e contenuti
della pubblicazione
Nessun commento:
Posta un commento