Trecento dollari al mese per controllare qualsiasi Android: il nuovo spauracchio si chiama Oblivion
Articolo Precedente
Articolo Successivo
Redazione Scienza e Tecnologia
-
C’è un momento, nel ciclo evolutivo del malware mobile, in cui qualcosa cambia davvero: non si tratta di un aggiornamento incrementale a uno strumento già noto, né dell’ennesima variante di un RAT (Remote Access Trojan) riciclato dai recessi dei repository underground. Oblivion, stando all’analisi condotta dai ricercatori di Certo – una compagnia impegnata nel settore della cybersecurity internazionale – rappresenta invece quel momento, configurandosi come un vero e proprio cambio di paradigma nelle minacce che prendono di mira i dispositivi Android. La sua architettura, del tutto nuova e sviluppata da zero secondo quanto dichiarato dai venditori sui forum, unita a capacità inedite e a una distribuzione commerciale spregiudicata, abbassa drammaticamente la soglia tecnica necessaria per condurre attacchi informatici prima appannaggio di pochi esperti.
Il modello di business prescelto per questo trojan di accesso remoto è quello del Software-as-a-Service, con tanto di listino prezzi ben visibile e pubblicizzato sul cosiddetto clear web, senza bisogno di addentrarsi nei meandri del dark web. L’abbonamento parte da trecento dollari per un mese, ma sono previste opzioni più convenienti per periodi più lunghi, fino a duemiladuecento dollari per una licenza a vita. Chi acquista il pacchetto non ottiene però l’accesso al codice sorgente, garantendo così al creatore il controllo esclusivo sullo strumento e la possibilità di monetizzare il servizio in modo continuativo. E a comprare sono malintenzionati con competenze tecniche anche minime, dato che l’interfaccia è studiata per essere intuitiva: un builder punto-e-clicca permette di generare un APK malevolo su misura, scegliendo nome, icona e persino il tipo di falso aggiornamento di sistema o di Google Play con cui si presenterà alla vittima.
L’iniezione del codice e il bypass dei permessi
Una volta confezionato, il dropper – questo il nome del modulo che veicola l’infezione – si presenta sui dispositivi bersaglio sotto mentite spoglie. Può essere un messaggio che invita a scaricare un aggiornamento critico per il sistema, una notifica che simula un avviso di sicurezza, o la classica schermata di un “Update Required” che sembra provenire dal Play Store ufficiale. L’utente, tratto in inganno da queste interfacce che riproducono fedelmente quelle originali, viene guidato passo dopo passo ad abilitare l’installazione da fonti sconosciute, un’operazione che appare del tutto normale ma che in realtà spalanca le porte all’intruso. Ed è qui che Oblivion mostra la sua natura più pericolosa: una volta avviata l’installazione, è in grado di concedersi da solo i permessi di cui necessita, in primis quelli relativi ai servizi di accessibilità, senza che la vittima debba confermare nulla. Questo è un punto cruciale, perché i servizi di accessibilità – progettati per assistere utenti con disabilità – rappresentano di fatto una chiave maestra per interagire con ogni elemento sullo schermo, leggere il contenuto delle app e simulare tocchi e gesture. E la cosa più allarmante è che il meccanismo funziona su tutte le principali interfacce personalizzate dei produttori – da Samsung One UI a Xiaomi HyperOS, da OPPO ColorOS a Honor MagicOS – e su versioni di Android che vanno dalla 8 alla 16, coprendo di fatto la quasi totalità degli smartphone attualmente in circolazione.
Il controllo invisibile: la tecnologia HVNC
La caratteristica tecnicamente più avanzata di Oblivion, quella che lo differenzia da altri RAT e che ha maggiormente impressionato gli esperti di Certo, risiede nella sua implementazione della tecnologia Hidden VNC (HVNC). In pratica, l’attaccante può stabilire una sessione di controllo remoto del dispositivo che è completamente invisibile agli occhi di chi lo sta usando in quel momento. Sullo schermo del malcapitato appare una schermata fissa, del tutto personalizzabile, che mostra un’animazione rassicurante: potrebbe essere un “Aggiornamento di sistema in corso…”, una “Scansione antivirus”, o una “Ottimizzazione della batteria”. La barra di progresso si muove lentamente, dando l’illusione che stia accadendo qualcosa di normale. Ma dietro questo fondale, in una finestra nascosta, l’aggressore ha il controllo totale: può aprire applicazioni, leggere i messaggi, navigare tra le foto, avviare bonifici dalle app bancarie, e tutto questo mentre la vittima, ignara, osserva un finto caricamento.
Le potenzialità di furto di dati, a questo punto, sono pressoché totali. Il malware intercetta gli SMS, compresi quelli contenenti gli OTP, le password monouso utilizzate per l’autenticazione a due fattori; legge le notifiche push, anche quelle delle applicazioni finanziarie che contengono i movimenti di conto; registra ogni singola battuta digitata sulla tastiera, carpendo password, PIN e dati di carte di credito. Dispone inoltre di un file manager per esplorare e prelevare documenti e della capacità di disinstallare o attivare applicazioni da remoto, rendendo il telefono un burattino nelle mani del criminale informatico. L’aspetto forse più inquietante, dal punto di vista della privacy e della sicurezza finanziaria, è la presenza di una modalità “screen reader” in grado di aggirare lo schermo nero che molte app bancarie e di crypto-wallet attivano per impedire acquisizioni dello schermo non autorizzate. Questo significa che neppure quella protezione è più sufficiente a garantire che le proprie credenziali siano al sicuro da sguardi indiscreti.
