ExpensiveWall: app infette da SDK malevolo colpiscono più di 4 milioni di utenti Android

Il malware ExpensiveWall è stato scoperto dai laboratori Checkpoint: veniva nascosto nell’SDK integrato dai sviluppatori nelle app, ignari che all’interno degli stessi si trovasse del codice maligno.   

Le operazioni svolte dal malware si dividono in due o più passaggi, il primo passaggio consiste nella raccolta dei dati inerenti lo smartphone infettato (id hardware, indirizzo MAC e IP, codice IMEI) i quali vengono trasmessi ad un server C&C esterno, il secondo passaggio consiste nell’attendere fondamentalmente istruzioni dal server esterno le quali saranno eseguite dentro un componente WebView, dentro di questo componente vengono aperte (grazie a del codice javascript) alcuni siti web che richiedono l’iscrizione premium via sms cosa che viene eseguita dal malware, nascondendo però all’utente gli sms di conferma che lo stesso servizio invia.  

Così facendo l’utente si accorgerà dell’infezione solo quando vedrà il proprio credito scalare molto velocemente.

Da notare che i permessi che le app richiedono al primo avvio sono considerate “standard” e si limitano a inviare/ricevere SMS e l’accesso ad internet: ad un utente comune possono sembrare permessi non particolarmente esigenti. Sorge spontanea la domanda: come stare al sicuro?  Sicuramente Google sta facendo molti sforzi per arginare questo problema, come ad esempio l’introduzione della protezione Play Protect nella nuova versione Oreo, oltre a ciò l’utente può fare molto come ad esempio:

• leggere le recensioni degli utenti che hanno già scaricato l’app (come da figura di una delle app infette) 

• controllare i permessi che l’app richiede e concedere solo quelli strettamente necessari al funzionamento dell’app
• installare un antivirus e lanciare regolarmente delle scansioni

 I laboratori Checkpoint hanno pubblicato la lista delle app (più di 100) che sono già state prontamente rimosse da Google dal Play Store, di seguito la lista:

Fonte e approfondimento: ExpensiveWall: A dangerous ‘packed’ malware on Google Play