“Se il prodotto è gratis, il prodotto sei tu.” È una delle frasi più note quando si parla di marketing e privacy digitale, ma è utile anche per introdurre un fenomeno particolarmente pericoloso troppo spesso sottovalutato. È quella per cui il prodotto non è gratis, ma è venduto a un prezzo basso. Troppo basso per coprire i costi reali. In quel caso, il prezzo mancante lo si paga comunque, solo in un altro modo.
È quello che ha scoperto un ricercatore americano analizzando un proiettore Magcubic HY300 Pro+, acquistato per circa trentacinque dollari su un marketplace online e disponibile anche in Italia su Amazon e AliExpress.
Indice:
Segui TuttoAndroid su Google Discover
Il comportamento anomalo del proiettore low cost
Non appena il proiettore viene collegato alla rete domestica (quindi ancora prima di metterlo in funzione) il sistema di filtraggio DNS installato dal ricercatore ha iniziato a registrare connessioni verso domini sospetti. Una spia immediata che ha innescato un’analisi approfondita del firmware, condotta con l’ausilio di un modello di intelligenza artificiale.
Sul dispositivo girava Android 11 in versione di produzione, senza permessi di root. Apparentemente tutto nella norma, se non fosse per una serie di pacchetti preinstallati sospetti.
I cinque pacchetti individuati formavano un sistema coordinato. Uno si occupava di raccogliere e trasmettere la telemetria del dispositivo. Un secondo iniettava pubblicità e garantiva la persistenza del sistema. Un terzo scaricava aggiornamenti tramite connessioni HTTP non cifrate, con evidenti rischi di intercettazione. Un quarto installava applicazioni in silenzio. Il quinto, denominato com.hotack.silentsdk, era il più pericoloso perché si presentava come un SDK di analisi dati ma era a tutti gli effetti un trojan ad accesso remoto, con gli stessi privilegi dei servizi di sistema. Questo dettaglio non è secondario in quanto un’applicazione può operare con privilegi di sistema solo se il relativo file APK è firmato con il certificato di piattaforma del produttore. Il proiettore, quindi, è uscito dalla fabbrica già in questo stato.
Il comportamento del malware era poi studiato per eludere il rilevamento. Non appena connesso a internet, il dispositivo contattava un server remoto in attesa di istruzioni. Il codice malevolo vero e proprio non risiedeva stabilmente sul dispositivo ma veniva consegnato di volta in volta, così che poteva essere rimosso dal server nel momento stesso in cui qualcuno iniziava ad analizzarlo. Una soluzione studiata per non lasciare tracce.
La connessione domestica dell’acquirente venduta come proxy
Tra i domini intercettati dal sistema di filtraggio DNS compariva usmyip.kkoip.com, riconducibile a Kookeey, un fornitore cinese di proxy residenziali che commercializza accesso a un pool dichiarato di quarantasette milioni di indirizzi IP in centonovanta paesi. Si tratta di indirizzi IP residenziali di utenti reali, su reti domestiche reali. Chi acquista questo servizio può instradare il proprio traffico facendolo apparire come proveniente da un normale utente privato, aggirando i sistemi antifrode che trattano tale traffico come legittimo. Il malware sul proiettore fungeva da agente proxy e registrava il dispositivo nel pool di Kookeey, mettendo la connessione internet dell’acquirente a disposizione di terzi paganti. Un approccio che ha anche un’altra conseguenza da non sottovalutare. In caso di indagine, infatti, l’indirizzo IP individuato sarebbe stato quello del proprietario del proiettore.
L’analisi del firmware ha rivelato un ulteriore problema. Come già documentato nel caso BadBox, il ripristino alle impostazioni di fabbrica non è sufficiente a eliminare questo tipo di minaccia quando il codice malevolo è integrato direttamente nel firmware del dispositivo. In questo caso specifico, uno script di avvio disabilitava Google Play Protect alla prima accensione e neutralizzava i meccanismi di rilevamento di Google, mentre un secondo script reinstallava gli APK malevoli da directory predefinite a ogni riavvio.
Un problema che va oltre i singoli prodotti
Il proiettore Magcubic è uno dei tanti modelli quasi identici che escono dalla stessa filiera produttiva e vengono venduti sotto decine di marchi diversi sui principali marketplace. Come ha osservato il ricercatore di Kaspersky Dmitry Kalinin commentando una minaccia simile, senza alcuna azione da parte dell’utente, un dispositivo può risultare compromesso fin dal momento dell’acquisto. I marketplace che distribuiscono questi prodotti non hanno né la struttura né, probabilmente, l’incentivo per verificare cosa gira nel firmware di un articolo da trentacinque euro. E gli acquirenti si fidano del fatto che un prodotto in vendita su Amazon sia sicuro, senza rendersi conto che il costo nascosto può essere molto più alto del prezzo pagato.
Come tutelarsi? L’indicazione più pratica resta quella già ribadita dall’FBI e confermata da Google: scegliere dispositivi certificati, protetti dal programma Google Play Protect e aggiornati regolarmente, evitando prodotti di marchi sconosciuti che promettono prestazioni elevate a prezzi stracciati.