Nuovi malware per Android. A rischio il 90% dei dispositivi

Giu 24, 2016 Marco Schiaffino Attacchi, Malware, Minacce, News, Trojan 0

Si chiama Godless e sarebbe in grado di colpire il 90% dei dispositivi equipaggiati con la versione Lollipop 5.1 o precedenti del sistema operativo di Google. A lanciare l’allarme è Trend Micro, che in un post sul suo blog ufficiale mette in guardia nei confronti della nuova famiglia di malware.

Stando a quanto riportato dai ricercatori della società antivirus, i malware della famiglia Godless sfruttano un set di strumenti open source chiamato android-rooting-tools, che consente di utilizzare diversi exploit a seconda delle esigenze.

Una vera “cassetta degli attrezzi” che rende Godless uno strumento estremamente versatile, in grado di violare la maggior parte dei device con sistema Android.

Gli analisti di Trend Micro hanno individuato due generazioni diverse del malware. Nella versione più vecchia, la procedura di rooting viene avviata dopo l’installazione dell’app infetta. Prima di agire, però, il malware aspetta che lo schermo del dispositivo venga spento, in modo che l’operazione passi inosservata.

Prima di eseguire il root, il malware aspetta che lo schermo del dispositivo sia spento.

Gli strumenti di rooting, in questa versione, sono integrati nell’app usata per infettare lo smartphone all’interno di un file binario chiamato libgodlikelib.so.

Una volta eseguito il root, Godless installa un client “indipendente” per Google Play che è in grado di scaricare e installare app dallo store.

Uno dei possibili utilizzi dello strumento, secondo Trend Micro, sarebbe quello di “gonfiare” le statistiche di un’app per farle guadagnare posti nella classifica di Google Play.

Le versioni più recenti di Godless, invece, sfruttano un collegamento in remoto per scaricare l’exploit da un server Command and Control.

Secondo i ricercatori, si tratterebbe di uno stratagemma che mira ad aggirare i controlli antivirus dei market, che potrebbero rilevare la presenza degli strumenti di rooting integrati nel codice dell’app.

Infine, il malware crea una backdoor con privilegi di root che consente ai cyber-criminali di installare qualsiasi app sul dispositivo all’insaputa del legittimo proprietario.

Godless è stato individuato in diverse app disponibili in numerosi market, compreso Google Play. Si tratta per lo più di app di “basso profilo”, probabilmente sviluppate dagli stessi autori del malware.

Tra le app infette che si trovano su Google Play c’è questa (apparentemente innocua) “Summer Flashlight”.

I ricercatori di Trend Micro, però, nelle loro ricerche hanno scoperto che i cyber-criminali adottano anche un’altra strategia per diffondere Godless.

Gli analisti hanno infatti rilevato la presenza sul Web di versioni infette di app che sono presenti anche in Google Play, ma che sullo store ufficiale non contengono il codice maligno.

Le dimensioni del fenomeno, quindi, sono ancora tutte da verificare. Secondo Trend Micro, però Godless potrebbe aver colpito già più di 850.000 dispositivi nel mondo.

Condividi l'articolo