I cavalli di Troia nelle app per smartphone

“Mio padre mi diceva sempre che il miglior posto per nascondersi
è l’ultimo che ti verrebbe in mente.“

Ricorderete l’Eneide e di come i greci, adottando lo stratagemma del Cavallo di Troia, espugnarono l’omonima città: nascosti dentro un cavallo di legno, che doveva essere un dono, i greci superarono le difese e vinsero la guerra.

Analogamente, tra le categorie del software malevolo c’è quella dei “trojan“: nascondendosi dentro insospettabili programmi, questi pezzi di codice progettati per prendere il controllo dei nostri dispositivi o rubare i nostri dati, prendono vita a nostra insaputa e, spesso, inconsapevolmente a causa nostra.

“timeo danaos et dona ferentes” (“temo i Greci, anche quando recano doni“) disse Laocoonte per convincere i troiani a non accettare il dono che fu causa della loro distruzione.

Il problema, oggi, è che non sappiamo dove si nascondano “i greci“. Non sappiamo esattamente dove sia il codice malevolo e spesso sono necessari giorni di analisi da parte di esperti per capirlo. Capita che gli stessi programmatori, usando librerie o pezzi di codice di terze parti, includano a loro insaputa parti “malevole” nei loro prodotti, nelle loro applicazioni.

Ci sono tecnologie di analisi automatica, basate sia su firme che analisi euristica del codice, ma chi produce software malevolo adotta strategie di offuscamento per evitare di essere identificato con troppa facilità.

Ma perché scrivere software malevolo? Beh, la risposta è semplice: per soldi. O per semplice sfida. Oppure per entrambi. Oggi il mercato dei trojan è un business redditizio che costa alla società molti miliardi di dollari ogni anno.

Ci sono software progettati per cifrare i nostri dati e poi chiederci un riscatto (“ransomware”), altri che rubano le credenziali e i dati bancari, altri ancora che sottraggono indirizzi, documenti, foto…

Proprio in questi ultimi giorni sono stati rilevati pezzi di codice malevolo in svariate app presenti sul Google Play, tra cui CamScanner –una popolare app per la scansione dei documenti scaricato da milioni di utenti-: secondo le prime analisi, il trojan (Necro) si nascondeva in una libreria esterna usata dagli sviluppatori, a loro insaputa:

“The criminals can search for valuable information on the infected device’s memory. This can be used to look out for passwords or even real-time looking for user input placed inside of banking services. The Trojan can be used to interact with the installed system and applications. This can result in changed settings, issues and unexpected errors.”

Sono tantissime le app che quotidianamente vengono identificate come “infette” e c’è ben poco che possiamo fare se non adottare le normali precauzioni:

• evitare l’installazione di software prodotto da aziende sconosciute o non adeguatamente certificate;
• mantenere sempre aggiornato il sistema e le applicazioni con le ultime release disponibili;
• se non è più possibile aggiornare il sistema, causa obsolescenza, sostituire il dispositivo con una versione più recente e aggiornabile;
• non usare app bancarie su dispositivi non adeguatamente sicuri e protetti (Banking Trojan Found in Over 40 Models of Low-Cost Android Smartphones);
• in caso di strani comportamenti dello smartphone, procedere con un reset totale e reinstallare da zero tutte le sue componenti (attenzione anche ai backup, che potrebbero essere compromessi a loro volta);

Le conseguenze di un uso “leggero” dei potenti dispositivi informatici oggi nelle nostre mani, smartphone compresi, possono essere molto gravi. Si va dalla perdita di tutti i dati (foto, video, documenti…) al furto degli stessi (avete documenti di lavoro o riservati sullo smartphone?) al furto delle credenziali dei vostri account sociali (“furti di identità”) a quello ben più grave dell’accesso al conto bancario.

Potrete anche pensare che tutto questo sia solo una inutile e paranoica “esagerazione” ma provate a riflettere a ciò che oggi fate con il vostro smartphone e immaginate che sia un altro a farlo. Per rubarvi i dati, per rubarvi i soldi, per rubarvi l’identità. Solo una esagerazione?