Una delle raccomandazioni principali per proteggere i nostri dispositivi mobili è scaricare tutto il software attraverso i negozi ufficiali, ma ci sono occasioni in cui un elemento dannoso riesce a introdurre app molto ben camuffate. È esattamente ciò che è successo con SonicSpy, una variante di malware che ha iniziato le sue attività a febbraio di quest'anno, distribuendo agli utenti «messaggeri istantanei» che possono registrare audio, scattare fotografie, effettuare chiamate ed estrarre contatti senza alcun preavviso.
Un pericolo nascosto nei messaggeri
Si suppone che se un dispositivo mobile non ha accesso root abilitato e ottiene le sue applicazioni solo tramite negozi ufficiali, le probabilità di infezione sono basse. Tuttavia, gli sviluppatori di malware non restano con le mani in mano e cercano sempre di far passare le loro creazioni attraverso le fessure di ogni piattaforma. Android ha subito gli effetti di questa «corsa agli armamenti» in più di un'occasione, e nonostante il buon lavoro di Google, analizzare il comportamento di migliaia di applicazioni che entrano nel Play Store ogni giorno è un compito titanico. È a questo punto che intervengono i ricercatori indipendenti, e ci troviamo di fronte a cose come SonicSpy, scoperto dalla gente di Lookout.
SonicSpy ha iniziato il suo dispiegamento a febbraio di quest'anno e i dati disponibili suggeriscono che sia stato sviluppato da un agente con base in Iraq, anche se non è chiaro se sia governativo o privato. Più di mille applicazioni hanno dimostrato di avere una qualche relazione con SonicSpy, ma le più importanti assumono la forma di messaggeri istantanei. «Soniac» si presenta come un clone di Telegram, e in superficie svolge le sue funzioni di base senza intoppi. Lookout ci spiega che l'app ha in realtà la capacità di registrare audio, effettuare chiamate, scattare fotografie, inviare messaggi di testo a numeri specificati dall'attaccante e estrarre dettagli come la lista dei contatti, la cronologia e la configurazione delle reti WiFi.
In sostanza, le applicazioni con SonicSpy cancellano le loro tracce eliminando l'icona dal launcher e attivano una connessione remota con un server sulla porta 2222. SonicSpy condivide diversi elementi tecnici con SpyNote, un altro malware i cui primi resoconti risalgono a luglio 2016. Oltre a Soniac, «Hulk Messenger» e «Troy Chat» sono arrivati a installarsi nel Play Store, ma una volta scoperto il loro legame con SonicSpy sono stati rapidamente rimossi. In sintesi: non basta più limitare i download al negozio di Google. Immagini, testo, descrizioni e commenti devono essere studiati attentamente prima di scaricare qualsiasi app.
