Nel panorama dei pericoli informatici dai quali difendersi, come virus e malware, alcuni rappresentano una minaccia ben più grave rispetto ad altri, ed è spesso il caso dei Trojan, la microcategoria più pericolosa tra i malware, in grado di causare seri danni soprattutto se riescono a fare breccia nel sistema operativo senza che l’utente se ne accorga.
In questi giorni il panorama delle minacce informatiche mobile è stato scosso dalla scoperta di un nuovo malware per Android che sta facendo discutere la comunità della cybersicurezza per via del suo approccio particolarmente insidioso. Non si limita a infettare i dispositivi, ma sfrutta anche la fiducia degli utenti nelle app più diffuse del Google Play Store, trasformandole in veicoli di attacco difficili da individuare.
Il nuovo agente malevolo si chiama Cellik ed è stato individuato dai ricercatori di iVerify come un servizio di malware-as-a-service (MaaS) offerto nei forum più nascosti. La sua caratteristica più rilevante e disturbante è la possibilità di creare versioni trojanizzate di applicazioni legittime, mantenendone intatte l’interfaccia e funzionalità originali. Un dettaglio che lo rende tra le minacce informatiche più pericolose riscontrate negli ultimi anni dagli esperti.
Indice:
Segui TuttoAndroid su Google Discover
Una piattaforma per cybercriminali che genera malware pronti all’uso
Cellik viene pubblicizzato come una piattaforma completa e accessibile, pensata per cybercriminali con competenze tecniche limitate. Secondo iVerify, il servizio è disponibile con un abbonamento da 150 dollari al mese oppure con una licenza a vita da 900 dollari, un modello ormai consolidato nell’economia del cybercrime.
Il cuore dell’offerta è un builder APK che consente agli attaccanti di selezionare direttamente applicazioni presenti sul Google Play Store. Una volta scelta l’app desiderata, il sistema genera una versione modificata che integra un malware pericoloso senza alterare l’esperienza utente percepita.
È evidente come questo approccio aumenti notevolmente le probabilità di successo dell’infezione poiché sfrutta la fiducia degli utenti verso una determinata app che mantiene la stessa icona e nome e, peraltro, continua a funzionare come previsto anche dopo l’installazione.
Dal punto di vista tecnico, Cellik si presenta come un malware Android estremamente sofisticato. Tra le funzionalità documentate dagli analisti figurano la possibilità di catturare e trasmettere in tempo reale lo schermo del dispositivo infetto, intercettare le notifiche delle app, esplorare il file system e sottrarre file sensibili. Il malware è in grado anche di cancellare dati da remoto e comunicare con il server di comando e controllo attraverso canali cifrati, rendendo più complessa l’analisi del traffico e l’individuazione dell’attività malevola.
Particolarmente pericolosa è la presenza di una modalità browser nascosta, che consente agli attaccanti di navigare su siti web direttamente dal dispositivo della vittima sfruttando cookie e sessioni già attive. In questo modo, operazioni come l’accesso a servizi online possono avvenire senza richiedere nuovamente le credenziali, aggirando alcune misure di sicurezza.
Iniezioni nelle app e furto delle credenziali
Cellik include anche un sistema di app injection che permette di sovrapporre schermate di login false o inserire codice malevolo all’interno di applicazioni specifiche. Questa tecnica viene spesso utilizzata per sottrarre credenziali bancarie, account di servizi digitali o dati aziendali, sfruttando interfacce che l’utente ritiene legittime.
Secondo il portale specializzato iVerify, il malware può spingersi oltre, iniettando payload all’interno delle app già installate sul dispositivo. In questo scenario, è chiara la minaccia di questo sistema che trasforma applicazioni considerate affidabili da anni in veicoli di attacco, rendendo l’infezione ancora più difficile da individuare e attribuire.
Il nodo Play Protect e le dichiarazioni del venditore
Il punto più controverso riguarda le affermazioni del venditore di Cellik sulla presunta capacità di aggirare le protezioni di Google Play. Secondo quanto riportato nei forum, il malware sarebbe in grado di eludere Play Protect grazie all’integrazione all’interno di pacchetti applicativi considerati affidabili.
iVerify sottolinea che, sebbene Play Protect sia progettato per individuare app sconosciute o chiaramente malevole, un trojan nascosto all’interno di un’app popolare potrebbe avere maggiori possibilità di superare i controlli automatici o i sistemi di scansione a livello di dispositivo.
Il portale BleepingComputer ha contattato Google per ottenere un commento ufficiale sulla questione, ma al momento della pubblicazione non era ancora arrivata una risposta.
Come proteggersi da minacce del genere
Questa campagna malware nonché molte altre emerse nelle scorse settimane, come BankBot-YNRK e DeliveryRAT, evidenziano un trend nel campo delle minacce informatiche, ovvero quello secondo cui gli hacker stiano sfruttando la fiducia degli utenti nelle app quotidiane, come quelle per la banca o per le consegne. Le app infette spesso appaiono identiche a quelle originali, ma operano in modo subdolo, rubando dati e inviandoli a server remoti.
Anche in questo caso è importante sottolineare che la diffusione di versioni trojanizzate di app del Play Store avviene tipicamente tramite il sideloading, ovvero l’installazione manuale di APK provenienti da fonti esterne. Anche se l’app originale è disponibile sullo store ufficiale, la variante malevola viene distribuita attraverso canali non ufficiali, come siti di download, forum o messaggi privati.
Per questo motivo, gli esperti del settore raccomandano agli utenti Android di evitare il sideloading di APK da fonti non verificate, mantenere Play Protect attivo, controllare con attenzione i permessi richiesti dalle app e monitorare eventuali comportamenti anomali del dispositivo.
Inoltre, mantenere il sistema operativo aggiornato riduce notevolmente le possibilità di infezione, spiegano gli analisti, poiché molte vulnerabilità sfruttate da questi malware potrebbero essere già state corrette nelle versioni più recenti di Android.
Dunque, l’invito è quello di aggiornare sempre il vostro dispositivo Android anche se la release non porta con sé novità accattivanti o sostanziali, perché spesso è sotto il cofano che si tengono alla larga minacce informatiche del genere.