Le grandi limitazioni in materia di aggiornamenti, un'enorme frammentazione e una quantità spaventosa di dispositivi in circolazione rendono Android un bersaglio molto allettante per gli sviluppatori di malware, e uno degli ultimi esemplari è HummingBad. L'obiettivo di questa variante è generare «falsi clic», installare app dannose e ottenere altri profitti illegittimi tramite la pubblicità. Si stima che dalla sua scoperta, più di 85 milioni di dispositivi siano stati compromessi.
Se c'è una cosa che possiamo dire con certezza sul malware, è che non resta con le mani in mano. Ogni nuova notizia su infezioni o attacchi di massa porta con sé un nuovo dato, una scoperta o una risorsa che viene sfruttata da sviluppatori malintenzionati. Tra i computer desktop è stato sorprendente il progresso del ransomware, che ha colpito con precisione terminali senza protezione adeguata in luoghi come ospedali e agenzie governative. Se passiamo ai dispositivi mobili, l'obiettivo preferito è senza dubbio Android, grazie all'impressionante numero di smartphone e tablet sul mercato e ai suoi problemi naturali di progettazione, che gli impediscono di rispondere con sufficiente velocità alle minacce immediate. Questo ci porta a HummingBad, un nuovo malware scoperto a febbraio 2016 e monitorato dalla società di sicurezza Check Point negli ultimi mesi.
HummingBad è rimasto relativamente «addormentato» durante il periodo «febbraio-marzo-aprile», ma la sua attività è esplosa nel mese di maggio, tanto che oggi parliamo di un totale effettivo che supera gli 85 milioni di dispositivi. Da un punto di vista tecnico, HummingBad è un rootkit, la cui prima azione cerca di ottenere accesso root sul dispositivo e, se non ci riesce, proverà a ingannare l'utente per ricevere i permessi necessari. Il suo lavoro si divide in tre parti: generare clic falsi, installare app dannose e iniettare pubblicità nel dispositivo. Questo triplice meccanismo ha permesso a Yingmob, agenzia pubblicitaria con sede a Pechino e autrice intellettuale di HummingBad tramite il suo «gruppo di sviluppo per piattaforme all'estero», di ottenere profitti fraudolenti di circa 300.000 dollari al mese in media.
Il team di Check Point indica che ci sono circa dieci milioni di utenti attivi che «usano» le app dannose di Yingmob installate da HummingBad, e sebbene il gruppo principale si trovi in Cina e India, la classifica dei primi dieci mostra che Brasile e Messico hanno più di 300.000 utenti colpiti, mentre negli Stati Uniti superano i 280.000. Un altro dettaglio da considerare è che la grande maggioranza delle infezioni di HummingBad (il 90 per cento) era concentrata nelle versioni Jelly Bean e KitKat di Android, e solo l'otto per cento ha colpito le edizioni più recenti. Sia Google che Yingmob hanno mantenuto il silenzio radio, e Check Point non ha fornito un mezzo diretto per eliminare HummingBad, ma riteniamo che gli utenti infetti dovranno eseguire un reset di fabbrica sui propri dispositivi, e che il modo migliore per prevenirlo è, come sempre, limitare i nostri download al Google Play Store.
