Un nuovo malware dalla famiglia HummingBad
Vi ricordate di HummingBad? Ne abbiamo parlato per la prima volta a metà dello scorso anno, e ha colpito più di 85 milioni di dispositivi. Un problema importante dietro qualsiasi malware è che bastano modifiche di base per trasformarsi in qualcosa di diverso, e così arriviamo a HummingWhale, che è riuscito a infiltrarsi nel Google Play Store. Le app infette sono state scaricate almeno due milioni di volte e, nonostante i cambiamenti, l'obiettivo è lo stesso: generare guadagni con pubblicità e app false.
Gli utenti Android sono un bersaglio molto invitante, e non mancano mai le occasioni in cui uno sviluppatore malintenzionato riesce a nascondere il proprio codice all'interno di quella che sembra un'app legittima. Si tratta di una corsa agli armamenti per Google. Il gigante di Mountain View è piuttosto bravo a rilevare le app infette, ma una volta che «l'altra parte» assimila i suoi metodi, fa tutto il possibile per eludere e inserire il proprio malware. L'ultimo rapporto pubblicato da Check Point parla di una nuova campagna chiamata HummingWhale. Se il nome suona familiare, è perché siamo di fronte a una variante del famoso HummingBad, con la differenza che è molto più intelligente.
Come funziona HummingWhale
In totale sono state rilevate venti app con HummingWhale integrato, e sono state scaricate tra i due e i dodici milioni di volte. Check Point ha seguito questa famiglia di malware per mesi, e ha stabilito che invece di cercare l'accesso root sul dispositivo, HummingWhale applica tecniche associate alle macchine virtuali. Quando l'utente cerca di chiudere la pubblicità dannosa di HummingWhale, il malware scarica app indesiderate all'interno di quella macchina virtuale e crea un'identificazione falsa che consente di ottenere guadagni aggiuntivi abusando dei referral. L'uso di una macchina virtuale elimina la necessità del root e, come se non bastasse, HummingWhale può pubblicare commenti e valutazioni false per migliorare la reputazione delle app infette nel negozio.
Il rapporto di Check Point contiene l'elenco completo delle app, ma in sostanza iniziano con «com» e terminano con «camera» (ad esempio, «com.note.ocean.camera»). Come previsto, Google ha già rimosso le app in questione, e Check Point offre un'app compatibile in grado di rilevare questo tipo di infezione, così come Lookout, uno dei suoi concorrenti diretti.
