Una nuova campagna di adware su larga scala è stata scoperta all’interno del Google Play Store, in grado di compromettere le prestazioni di milioni di smartphone Android in tutto il mondo. La minaccia, soprannominata GhostAd, è stata individuata dai ricercatori di Check Point Software Technologies, che hanno rivelato come una serie di app apparentemente innocue nascondesse un motore pubblicitario persistente in grado di funzionare in background anche dopo la chiusura o il riavvio del dispositivo.
Le applicazioni coinvolte si presentavano come semplici strumenti utili (torcia, calcolatrice) o app per modificare le emoji, ma in realtà attivavano un sistema pubblicitario nascosto che consumava batteria, dati e potenza di calcolo. Al culmine dell’attività, la rete GhostAd comprendeva almeno 15 app correlate, cinque delle quali erano ancora disponibili su Google Play al momento dell’indagine.
Secondo i ricercatori, circa il 75% delle vittime proveniva dall’Asia orientale e sud-orientale, in particolare dalle Filippine, dal Pakistan e dalla Malesia, con un numero minore di casi segnalati anche in Europa, Africa e Israele. Facciamo chiarezza su questo pericolo appena scovato.
Indice:
Segui TuttoAndroid su Google Discover
Scovato GhostAd: un fenomeno rimasto a lungo inosservato
Come accennato, questa rete malevole si nascondeva dietro delle applicazioni che hanno riscosso un successo addirittura sorprendente, arrivando a portare una di esse al secondo posto nella categoria “Top Free Tools” del Play Store.
Nonostante i primi commenti negativi degli utenti, che segnalavano rallentamenti, icone scomparse e popup pubblicitari incessanti, le app sono rimaste online almeno dall’inizio di ottobre, raccogliendo nuovi download ogni giorno.
Come funziona GhostAd?
Secondo Check Point, la forza di GhostAd risiede nella sua capacità di restare attivo anche dopo la chiusura forzata. Ogni app avvia un servizio in primo piano che garantisce l’esecuzione continua e utilizza una notifica invisibile e non rimovibile per mascherare la propria presenza. Questo accorgimento tecnico, apparentemente legittimo secondo le regole di Android, è stato sfruttato per nascondere un processo pubblicitario in continua esecuzione.
A rafforzare ulteriormente la persistenza, le app utilizzano un JobScheduler che riattiva automaticamente le attività di caricamento degli annunci ogni pochi secondi. Anche se Android interrompe il servizio, lo scheduler lo riavvia immediatamente, mantenendo il ciclo pubblicitario attivo in modo costante.
In pratica, il sistema garantisce un flusso continuo di coinvolgimento pubblicitario che genera profitti per gli operatori e allo stesso tempo prosciuga le risorse del dispositivo.
Un aspetto particolarmente ingannevole della campagna è l’uso di SDK pubblicitari legittimi, tra cui Pangle, Vungle, MBridge, AppLovin e BIGO. GhostAd li sfrutta però in modo illecito, caricando e aggiornando gli annunci in background senza alcuna interazione dell’utente.
Questo comportamento trasforma i telefoni infettati in vere e proprie “fabbriche pubblicitarie” invisibili, dove ogni secondo equivale a nuove richieste pubblicitarie e a un consumo costante di energia e dati.
Impatto dannoso su prestazioni e privacy
Il risultato di tutto questo meccanismo in background per gli utenti si traduce in telefoni più lenti, batterie che si scaricano rapidamente e connessioni sempre più congestionate. Pur non rubando direttamente informazioni sensibili, GhostAd compromette l’esperienza d’uso e, in alcuni casi, può anche esporre a rischi di privacy.
Secondo David Gubiani, Regional Director Security Engineering per Check Point:
“Queste app non hanno bisogno di exploit di hacking per essere pericolose: bastano le loro autorizzazioni per trasformare un telefono in un sifone di dati”.
I permessi concessi a queste app consentono infatti di leggere e scrivere file su memorie esterne, scansionare cartelle condivise, accedere a documenti esportati o in backup e, in alcuni casi, anche a file provenienti da ambienti aziendali. Un comportamento che consente a chi controlla la rete di mantenere una finestra aperta sul dispositivo e sulle informazioni che contiene, senza che l’utente ne sia consapevole.
La risposta di Google e come proteggersi
In seguito alla segnalazione, Google ha rimosso tutte le app identificate dal Play Store, confermando che il sistema Play Protect è in grado di disabilitare automaticamente le applicazioni pericolose anche se scaricate da fonti esterne. Tuttavia, la campagna GhostAd dimostra ancora una volta quanto sia difficile individuare le minacce che si muovono nella “zona grigia” degli app store ufficiali, sfruttando infrastrutture pubblicitarie legittime ma per scopi malevoli.
Per quanto riguarda i consigli su come proteggersi, gli esperti consigliano di evitare applicazioni con nomi generici o con richieste di permessi eccessivi, di leggere sempre con attenzione le recensioni e di diffidare delle notifiche vuote persistenti, che spesso nascondono servizi in background.
È inoltre buona norma controllare periodicamente la lista delle app installate, verificando la presenza di programmi sconosciuti o che non compaiono sulla schermata principale.
Inoltre, mantenere il sistema operativo aggiornato riduce notevolmente le possibilità di infezione, poiché molte vulnerabilità sfruttate da questi malware sono già state corrette nelle versioni più recenti di Android. Dunque, l’invito è di aggiornare sempre il vostro dispositivo Android, anche se la release non porta con sé novità evidenti o sostanziali, perché spesso è sotto il cofano che si tengono alla larga le minacce informatiche del genere.
GhostAd rappresenta un esempio concreto della nuova generazione di minacce digitali: campagne che non mirano a rubare dati in modo diretto, ma a sfruttare la potenza dei dispositivi per generare profitti silenziosi e difficili da rilevare. Un monito per gli utenti Android e per l’intero ecosistema mobile, che, come spesso raccontiamo su queste pagine, si trova a fronteggiare forme di abuso sempre più sofisticate e invisibili pur di superare le difese digitali degli ecosistemi.