Certe app Android diventano malevole all'aggiornamento del sistema

Alcuni ricercatori dell’Università dell’Indiana hanno appena pubblicato in Rete i risultati di un approfondito studio condotto sul sistema operativo Android spiegando di aver individuato una falla di sicurezza che potrebbe essere sfruttata dagli autori di malware per spiare e sottrarre i dati personali degli utenti. Stando alle conclusioni della ricerca accademica, tutti i dispositivi a cuore Android sarebbero attualmente a rischio. La problematica, inoltre, non riguarderebbe solo le versioni “standard” di Android, ufficialmente supportate da Google, ma anche gli oltre 3.500 progetti derivati.

Luyi Xing, Xiaorui Pan, Kan Yuan, XiaoFeng Wang e Rui Wang (quest’ultimo ricercatore Microsoft) hanno battezzato “pileup flaws” le sei vulnerabilità di sicurezza appena scoperte in Android chiarendo che le lacune non riguardano il sistema operativo in sé quanto, piuttosto, il meccanismo di aggiornamento utilizzato dal robottino verde.

Un’applicazione malevola installata sul dispositivo Android, normalmente dotata di privilegi limitati, può riuscire a guadagnare diritti molto più ampi sfruttando il meccanismo di aggiornamento del sistema operativo. È vero che l’installazione delle versioni più aggiornate di Android, come nel caso degli altri sistemi operativi, consente di proteggersi da vulnerabilità di sicurezza, risolvere bug ed aggiungere nuove funzionalità. In questo caso, però, come dimostrato dai cinque ricercatori, l’app maligna può richiedere la creazione di alcuni privilegi personalizzati che saranno resi attivi in Android dopo il download e l’applicazione di qualunque update, anche ufficiale.

L’applicazione malware, una volta acquisiti i “superpoteri”, potrà quindi compiere una serie di operazioni anche piuttosto delicate: acquisizione delle credenziali utente, accesso al registro delle chiamate, invio di SMS, avvio di ogni genere di attività.

Nei video che seguono tre esempi di attacchi sferrati dall’app maligna: sottrazione dei messaggi personali Google Voice, phishing e attacco nei confronti di un account Google.

E per difendersi? Lo studio universitario, riassunto a questo indirizzo, cita la disponibilità di Secure Update Scanner (SecUP), un’app Android (scaricabile gratuitamente da questa pagina su Google Play) che effettua la scansione di qualunque dispositivo alla ricerca di applicazioni che cerchino di sfruttare le vulnerabilità.