Morpheus, lo spyware italiano che si finge un aggiornamento e ti ruba i dati: come proteggersi

27/04/2026 SCIENZA E TECNOLOGIA Preferisci Informazione.News su Google

Redazione Scienza e Tecnologia   -   Riceviamo un SMS che segnala un problema alla SIM o la necessità di un aggiornamento urgente per il sistema, e in pochi istanti, magari complice la preoccupazione di restare isolati dalla rete, si cede alla tentazione di cliccare su quel link. È l’inizio della fine della nostra privacy digitale, un copione già visto ma che oggi assume i contorni di una minaccia chiamata Morpheus. Questo nuovo spyware, portato alla luce dall’Osservatorio Nessuno – l’organizzazione no-profit italiana che da anni vigila sui diritti digitali e sulla sicurezza informatica – rappresenta un perfetto esempio di come l’ingegneria sociale si sposi con tecniche di intrusione sempre più subdole. A differenza di attacchi complessi zero-click (che non richiedono l’interazione della vittima), Morpheus punta tutto sull’inganno: convincere l’utente a installare volontariamente un’applicazione malevola, spacciata per un aggiornamento ufficiale del proprio operatore telefonico o del sistema operativo Android.

Come agisce il cavallo di Troia digitale sui dispositivi Android

Una volta che la vittima abbocca all’amo – spesso tramite un finto avviso di Fastweb o un generico messaggio di assistenza – il malware, nella sua versione identificata come 2025.3.0, inizia a dispiegare la sua offensiva. L’utente crede di risolvere un problema di connettività, ma in realtà sta autorizzando l’installazione di un dropper, un componente che silenziosamente estrae e lancia il vero spyware. Ed è qui che Morpheus dimostra la sua sofisticatezza: abusa dei servizi di accessibilità di Android, quelli solitamente utilizzati da chi ha difficoltà visive o motorie, capaci di leggere lo schermo e interagire con altre applicazioni. Ottenuti questi permessi (l’utente pensa di star solo “scansionando i problemi” della SIM), lo spyware mette in scena un finto riavvio del sistema; durante questa pantomima, però, abilita l’ADB (Android Debug Bridge) in modalità wireless, ottenendo di fatto privilegi di shell elevati che nessuna applicazione comune dovrebbe mai avere.

Senza che l’ignaro possessore dello smartphone possa far nulla – talvolta lo schermo viene addirittura bloccato da un overlay intrasparente – Morpheus esegue uno script in quattro fasi che i ricercatori hanno ribattezzato “DISPERAZIONE”. La prima fase serve ad auto-concedersi tutte le autorizzazioni pericolose senza chiedere il consenso, inclusa la scrittura delle impostazioni di sistema; la seconda, invece, disabilita le spie luminose di microfono e fotocamera introdotte dalle versioni recenti di Android, rendendo invisibile la sorveglianza. Ma è nella terza fase che l’attacco diventa brutale: il malware disattiva in blocco i principali antivirus del mercato, da Bitdefender a Malwarebytes, passando per Google Play Protect, senza bisogno di effettuare il root del dispositivo, ma semplicemente sfruttando le logiche di permesso del sistema operativo. Infine, il codice si adatta al produttore del telefono, applicando configurazioni specifiche per modelli Xiaomi, Samsung o Motorola per garantirsi la persistenza anche dopo i riavvii.

L’aggressione a WhatsApp e il furto delle credenziali biometriche

Tra le caratteristiche più inquietanti di Morpheus c’è la sua capacità di aggirare l’autenticazione biometrica di WhatsApp, una delle roccaforti della sicurezza delle nostre conversazioni. Lo spyware sovrappone una schermata falsa identica a quella originale del servizio di messaggistica, chiedendo all’utente di verificare la propria identità tramite impronta digitale o volto per un finto “sondaggio” o un controllo di routine. Quando la vittima appoggia il dito sul sensore, in realtà non sta autenticando se stessa, ma sta autorizzando l’associazione di un nuovo dispositivo – quello del malintenzionato – al proprio account. In questo modo, i criminali informatici (o le agenzie che li commissionano) ottengono un accesso totale e parallelo ai messaggi, ai contatti e ai file multimediali scambiati, senza che la vittima riceva alcuna notifica di un nuovo accesso. Il codice stesso della spyware lascia intuire le sue origini nostrane: sono stati trovati riferimenti a “Gomorra” per gestire le eccezioni di rete, funzioni chiamate “spaghettiTime” e persino la famosa gaffe televisiva “a pra foco” tradita nel nome di una libreria nativa.

Le connessioni con IPS Intelligence e il sistema Italia della sorveglianza

L’Italia, come ricorderanno gli addetti ai lavori dopo lo scandalo Hacking Team, vanta una lunga e controversa tradizione nel settore degli spyware commerciali costruiti da aziende private e venduti a governi o forze dell’ordine. Le indagini condotte dall’Osservatorio Nessuno hanno puntato il dito verso un nuovo e noto protagonista: IPS Intelligence, una società attiva da oltre trent’anni nel campo delle intercettazioni “legali”. Gli investigatori hanno scoperto connessioni tangibili tra l’infrastruttura di Morpheus e questa azienda, a partire da un indirizzo IP riconducibile a “IPS Intelligence Public Security” fino ai certificati TLS utilizzati per i server di comando e controllo. Non solo: il dominio fasullo usato per il phishing (`assistenza-sim.it`) risulta collegato a Rever Srls e Iris Telecomunicazioni, due società che condividono lo stesso commercialista dello stesso IPS Intelligence, creando un groviglio finanziario e operativo che lascia pochi dubbi sulla filiera produttiva del malware. A differenza dei giganti del settore come NSO Group, che vendono attacchi invisibili, IPS sembra aver optato per una soluzione più economica ma ugualmente efficace, puntando sulla complicità – attiva o passiva – del gestore telefonico della vittima, che in alcuni scenari censura i dati mobili per spingere l’utente a chiamare il falso supporto tecnico.

Strategie di difesa e comportamento da adottare

Proteggersi da una minaccia come Morpheus è possibile, a patto di adottare una certa dose di scetticismo digitale. Poiché il malware non risiede sul Google Play Store ma viene diffuso tramite APK esterni, la prima regola di sopravvivenza è quella di non installare mai applicazioni provenienti da link ricevuti via SMS o Email, anche se questi sembrano provenire dal proprio operatore telefonico. Le aziende serie non risolvono i problemi di rete chiedendo l’installazione di software tramite messaggi di testo. In secondo luogo, i ricercatori raccomandano di verificare periodicamente i dispositivi collegati ai propri account WhatsApp, Signal e Telegram (dalle impostazioni di “Dispositivi collegati”) e di controllare l’utilizzo della batteria: un consumo anomalo dovuto a un processo chiamato “Android System” o simile potrebbe indicare un’attività sospetta in background. Se si sospetta di essere stati infettati, l’unica strada praticabile rimane il ripristino ai dati di fabbrica, considerato che lo spyware disattiva i classici software di rimozione virus.