Sulle minacce mobile

Trojan Android.MagicAd mostra annunci nonostante ogni restrizione

Fri, 05 Jun 2026 03:00:00 GMT

Gli specialisti del laboratorio antivirus dell'azienda Doctor Web hanno rilevato un programma trojan, denominato Android.MagicAd, che con vari metodi aggira le restrizioni del sistema operativo Android e visualizza la pubblicità al funzionamento in background. Uno dei metodi è universale, gli altri sono progettati per dispositivi di produttori specifici. Includono lo sfruttamento di applicazioni di terze parti, nonché l'utilizzo del lettore multimediale di sistema.

Android.MagicAd.1 veniva distribuito attraverso lo store ufficiale delle app per dispositivi Xiaomi GetApps ed era nascosto in più di 50 vari giochi e programmi. Comparivano nello store per un breve periodo — il più delle volte, fino a un mese, dopodiché scomparivano, e al loro posto ne comparivano di nuovi. Probabilmente, i malintenzionati cercavano in questo modo di proteggere Android.MagicAd.1 dal rilevamento prematuro, mantenendo, allo stesso tempo, la sua attività, in quanto, dopo la rimozione dallo store, i programmi trojan rimangono sui dispositivi degli utenti e possono continuare a svolgere le operazioni malevole. Al momento, nessuna delle applicazioni con Android.MagicAd.1 da noi rilevate è disponibile per il download su GetApps, e gli sviluppatori che le distribuivano hanno smesso di pubblicare nuovi programmi con il trojan.

Lo studio effettuato dagli analisti dei virus Doctor Web ha mostrato che le prime versioni di Android.MagicAd.1 sono emerse nel 2025 e, oltre allo store di app GetApps, si trovavano anche su Samsung Galaxy Store.

Esempi di giochi e programmi dallo store di app GetApps che contenevano Android.MagicAd.1. Al momento della pubblicazione della nostra notizia, queste e altre varianti del trojan non sono più disponibili per il download

Parte delle funzionalità malevole di Android.MagicAd.1 si trova nei moduli dex che sono nascosti in librerie native cifrate nella directory con le risorse file del trojan. Nel corso del funzionamento, il malware decifra queste librerie, ne estrae i propri componenti e li esegue.

Prima di iniziare a visualizzare annunci pubblicitari, il trojan esegue una serie di controlli per assicurarsi che il suo ambiente sia sicuro. Ad esempio, cerca segni di operazione in ambiente virtuale, controlla se la sua installazione è stata organica e se l'indirizzo IP del dispositivo infettato non è presente sulla sua blacklist ecc.

Se Android.MagicAd.1 non rileva attività sospette, nasconde la propria icona dalla lista dei programmi nel menu della schermata principale. Quindi crea un canale di notifica, attraverso il quale avvia diversi servizi malevoli di persistenza, che sono necessari per il funzionamento in background con la finestra dell'applicazione malevola chiusa. In seguito, il pianificatore attività di Android.MagicAd.1 crea un task per il riavvio periodico dei servizi che controllano l'operazione del canale di notifica e, se necessario, riavviano questo canale. Inoltre, in caso di funzionamento su dispositivi con versioni di SO Android relativamente vecchie, il trojan avvia uno schermo virtuale per evitare che il sistema interrompa il funzionamento di uno dei suoi componenti.

Per visualizzare la pubblicità in modalità background quando la sua finestra è chiusa, Android.MagicAd.1 impiega una serie di tecniche che vengono selezionate in base al produttore del dispositivo infetto. Esse vengono implementate senza la richiesta esplicita dell'autorizzazione di sistema SYSTEM_ALERT_WINDOW, la quale permette a un'applicazione di essere visualizzata sopra altri programmi.

Indipendentemente dal metodo utilizzato, tutti i banner pubblicitari vengono caricati come activity traslucida, il che consente al trojan di disegnarli sopra le finestre esistenti.

Esempi di annunci visualizzati da Android.MagicAd.1

Una delle tecniche viene implementata tramite intent indirizzati ad altre applicazioni. Essa consente al trojan di aggirare le restrizioni delle versioni moderne di SO Android che impediscono ai programmi di avviare se stessi. A seconda del modello di dispositivo infetto, tramite questa tecnica Android.MagicAd.1 o mostra gli annunci esso stesso o "costringe" direttamente i programmi target a visualizzare i banner pubblicitari.

In una delle varianti di questo metodo, il target del trojan sono:

il browser Mi Browser sui dispositivi Xiaomi;
la shell grafica Miui SystemUI sui dispositivi Xiaomi;
il launcher Amazon Fire TV Home Screen sui dispositivi Amazon TV.

Tutte queste sono applicazioni di sistema sui relativi dispositivi, pertanto sono in grado di elaborare intent anche quando non sono direttamente avviate dall'utente. Fino a quando questi programmi sono attivi e possono accettare intent, Android.MagicAd.1 può utilizzarli per la visualizzazione di annunci.

Va notato che se su un dispositivo Xiaomi Mi Browser è installato non come app di sistema, il trojan anche può utilizzare questo programma per la visualizzazione di pubblicità — fino a quando la finestra del browser non venga chiusa.

Quando Android.MagicAd.1 scopre Mi Browser su un dispositivo adatto, invia un intent differito per l'avvio della pubblicità al proprio componente dex (rilevato da Dr.Web come Android.MagicAd.1.origin). Quest'ultimo ne genera il proprio intent e lo passa al browser, il quale estrae l'intent originale e avvia la pubblicità in conformità ad esso.

L'interazione con gli altri due programmi è leggermente diversa — essi vengono utilizzati per reinvocare il trojan dalla modalità background. All'inizio Android.MagicAd.1 invia al modulo Android.MagicAd.1.origin l'intent differito per l'avvio della pubblicità, e quest'ultimo passa ai programmi target il proprio intent per il proprio risveglio. Se il target è l'app Miui SystemUI, essa invia in risposta il proprio intent per l'avvio del modulo. Il programma target Amazon Fire TV Home Screen, invece, avvia il modulo direttamente — in base al nome del pacchetto. Avendo ottenuto il controllo, il modulo Android.MagicAd.origin avvia la pubblicità che ha ricevuto nell'intent differito dall'applicazione malevola principale.

Se il trojan non ha potuto mostrare la pubblicità, cerca di adoperare questo metodo altre due volte e, se fallisce, prova a mostrare la pubblicità direttamente, senza più utilizzare gli intent differiti e il proprio modulo dex malevolo.

Un'altra variazione di questo metodo è simile a quella precedente e viene impiegata per sfruttare programmi sui dispositivi Vivo. La differenza è che l'avvio della pubblicità avviene tramite Android Binder — il componente di sistema che fornisce l'interazione tra processi. In questo caso, il trojan ha come target i seguenti programmi di sistema:

iManager,
Rubrica,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 li avvia tramite Android Binder inviando ad esso normali intent tramite il container di dati Parcel. Questi programmi quindi avviano il componente trojan Android.MagicAd.origin, il quale, dopo essere uscito dalla modalità background, mostra gli annunci.

In Android.MagicAd.1 sono anche previste alcune altre tecniche per la visualizzazione di pubblicità durante il funzionamento in background, tra cui l'utilizzo del lettore multimediale. A differenza dei metodi mirati ai dispositivi specifici, questo è un metodo universale e funziona sulla maggior parte dei modelli di vari produttori. Android.MagicAd.1 decifra dal suo corpo un file audio e lo salva nella directory di lavoro. Quindi il malware avvia la propria istanza del lettore multimediale di sistema, imposta in essa il volume al minimo e la associa al sistema di gestione multimediale globale di SO Android. Successivamente per l'avvio della pubblicità Android.MagicAd.1 registra un broadcast receiver che intercetta i clic in questo lettore. Il trojan quindi tramite un comando adb speciale simula le azioni utente facendo clic sul pulsante di registrazione nel lettore, dopodiché chiude subito la sua finestra. La pressione del pulsante provoca l'attivazione del media receiver di sistema, il quale consente ad Android.MagicAd.1 di intercettare il controllo e avviare la pubblicità.

Dr.Web Security Space per dispositivi mobili rileva e rimuove in modo affidabile tutte le versioni conosciute del programma malevolo Android.MagicAd.1, pertanto per i nostri utenti esso non rappresenta alcun pericolo.

Indicatori di compromissione

Maggiori informazioni su Android.MagicAd.1

Maggiori informazioni su Android.MagicAd.1.origin

"Eminenza grigia" Baohuo. Backdoor Android cattura account Telegram, prendendone il completo controllo

Thu, 23 Oct 2025 13:26:46 GMT

23 ottobre 2025

L'azienda Doctor Web ha scoperto un pericoloso backdoor, Android.Backdoor.Baohuo.1.origin, in versioni modificate dai malintenzionati del programma di messaggistica Telegram X. Oltre alla capacità di rubare i dati riservati, compresi il login e la password dell'utente, nonché la cronologia della corrispondenza, questo malware possiede una serie di caratteristiche uniche. Ad esempio, per prevenire il rilevamento di se stesso e dell'avvenuta compromissione dell'account, Android.Backdoor.Baohuo.1.origin è in grado di nascondere nella lista delle sessioni attive di Telegram le connessioni dai dispositivi estranei. Inoltre, può aggiungere ed escludere l'utente a e da canali Telegram, entrare in chat a suo nome e uscire da esse, anche celando queste attività. Effettivamente per il suo tramite i malintenzionati prendono il completo controllo dell'account della vittima e delle funzionalità del programma di messaggistica, e il trojan stesso è uno strumento per l'aumento artificiale del numero di iscritti a canali Telegram. I cybercriminali gestiscono il backdoor, tra l'altro, anche tramite il database Redis, il che in precedenza non si riscontrava nelle minacce Android. Secondo le stime dei nostri specialisti, il numero totale di dispositivi infettati da Android.Backdoor.Baohuo.1.origin, ha superato 58.000.

La distribuzione di Android.Backdoor.Baohuo.1.origin è iniziata a metà del 2024, il che è testimoniato dalle varianti precedenti rilevate nel corso della sua analisi. Il metodo principale di consegna del backdoor sui dispositivi target è la pubblicità all'interno di applicazioni mobili. Alle potenziali vittime vengono mostrati annunci in cui viene suggerito di installare l'app di messaggistica Telegram X. Dopo il clic sul banner, gli utenti vengono reindirizzati verso i siti malevoli, da cui avviene il download del file APK trojan.

Questi siti imitano lo stile di uno store di applicazioni, e l'app di messaggistica viene posizionata come una piattaforma per cercare comodamente un partner per conversazioni e incontri. Questo è indicato sia dai banner con un testo pubblicitario sovrapposto su di essi su "videochat gratuite" e con inviti a "chiacchierare" (ad esempio, sotto le apparenze di screenshot della finestra di videochiamata), e sia dalle recensioni, inventate dai malintenzionati, degli utenti presumibilmente soddisfatti. Va notato che sulle pagine web è prevista la possibilità di selezionare la lingua dell'interfaccia, tuttavia le immagini stesse con ciò non cambiano.

Uno dei siti malevoli da cui viene scaricata la versione trojan di Telegram X. Alle potenziali vittime viene suggerito di installare il programma in cui, secondo le "recensioni", è facile trovare un partner per conversazioni e incontri

Al momento i cybercriminali hanno preparato i modelli standard con banner solo per due lingue: portoghese con un orientamento agli utenti dal Brasile, nonché indonesiano. Pertanto, gli abitanti del Brasile e dell'Indonesia sono l'obiettivo principale per gli attaccanti. Con tutto ciò, non si può escludere che col tempo l'interesse dei malintenzionati si estenderà anche agli utenti da altri paesi.

Lo studio dell'infrastruttura di rete degli attaccanti ha consentito di determinare la portata della loro attività. In media, gli analisti dei virus Doctor Web osservano circa 20.000 connessioni attive di Android.Backdoor.Baohuo.1.origin. Il numero totale di dispositivi infetti ha superato 58.000. Hanno subito l'infezione circa 3.000 vari modelli di smartphone, tablet, box TV e persino auto con computer di bordo basati su Android.

Paesi con il maggior numero di dispositivi infettati da Android.Backdoor.Baohuo.1.origin (secondo i dati del laboratorio antivirus Doctor Web)

Tuttavia, Android.Backdoor.Baohuo.1.origin viene distribuito non solo tramite i siti malevoli: i nostri specialisti lo hanno individuato anche su store di applicazioni Android di terze parti — ad esempio, APKPure, ApkSum e AndroidP. Sullo store APKPure esso è pubblicato a nome dello sviluppatore ufficiale dell'applicazione di messaggistica, nonostante il fatto che le firme digitali dell'originale e della mod trojan siano diverse. Abbiamo avvisato le piattaforme online su cui sono state trovate le versioni trojan di Telegram X.

Un Telegram X modificato con Android.Backdoor.Baohuo.1.origin incorporato veniva distribuito su APKPure a nome del reale sviluppatore dell'app di messaggistica

Il laboratorio antivirus Doctor Web ha individuato più varietà di Android.Backdoor.Baohuo.1.origin, le quali si possono condizionalmente suddividere in 3 principali gruppi di mod di Telegram X:

le versioni in cui i malintenzionati hanno incorporato il backdoor nel file DEX eseguibile principale del programma di messaggistica;
le versioni in cui il backdoor sotto forma di una patch viene incorporato dinamicamente nel file DEX eseguibile tramite l'utility LSPatch;
le versioni in cui il backdoor si trova in un file DEX separato nella directory con le risorse del programma e viene caricato dinamicamente.

A prescindere dal tipo di mod, Android.Backdoor.Baohuo.1.origin viene inizializzato all'avvio del programma di messaggistica stesso. Quest'ultimo rimane operativo e per gli utenti sembra un programma normale. Tuttavia, in realtà, i malintenzionati, tramite il backdoor, lo controllano completamente e persino possono modificare la logica del suo funzionamento.

Quando i cybercriminali devono eseguire un'azione che non richiede l'interferenza con le funzionalità principali del programma, utilizzano gli "specchi" preparati in anticipo dei metodi dell'applicazione richiesti. Ad esempio, tramite di essi è possibile visualizzare messaggi di phishing in finestre che esteriormente non differiranno dalle vere finestre di Telegram X.

I metodi sono blocchi di codice separati nella struttura delle applicazioni Android, responsabili dell'esecuzione di determinati compiti.

Se, invece, un'azione non è standard per il programma, viene utilizzato il framework Xposed che cambia direttamente una determinata funzionalità del programma di messaggistica tramite la modifica dei metodi dinamica. In particolare, per il suo tramite, vengono nascoste determinati chat e dispositivi autorizzati, nonché viene intercettato il contenuto degli appunti.

La principale differenza delle versioni precedenti dell'applicazione malevola da quelle attuali è il modo in cui è organizzata la gestione del trojan. Nelle vecchie versioni, la comunicazione con i malintenzionati e la ricezione di task da loro sono implementati nel modo tradizionale — tramite il server C2. Tuttavia, con il passare del tempo, gli attori di minacce hanno aggiunto ad Android.Backdoor.Baohuo.1.origin la possibilità di invio di comandi addizionali tramite il database Redis, ampliando così le funzionalità del malware e assicurando due canali di gestione indipendenti. Inoltre, hanno previsto la duplicazione dei nuovi comandi tramite un server C2 normale qualora il database risulti non disponibile. Questo è il primo caso noto di utilizzo di Redis per la gestione di software malevoli per Android.

Durante l'avvio Android.Backdoor.Baohuo.1.origin si connette al server C2 iniziale per scaricare la configurazione, la quale, tra l'altro, contiene anche i dati per il collegamento a Redis. Tramite questo database, i malintenzionati non solo inviano determinati comandi all'applicazione malevola, ma anche aggiornano le impostazioni del trojan. Tra le altre cose, assegnano l'indirizzo del server C2 corrente, nonché del server NPS (Network Policy Server — server dei criteri di rete). Gli attori di minacce utilizzano quest'ultimo per collegare i dispositivi infetti alla propria rete interna (intranet) e trasformarli in proxy per l'accesso a internet.

Android.Backdoor.Baohuo.1.origin si connette periodicamente al server C2 tramite chiamate API e può ricevere i seguenti task:

caricare sul server C2 gli SMS in arrivo e i contatti dalla rubrica del dispositivo infetto;
inviare al server il contenuto degli appunti al momento dell'uscita dall'app di messaggistica e del ritorno nella sua finestra;
ottenere dal server C2 gli indirizzi internet per la visualizzazione di pubblicità, nonché l'indirizzo di server per il download di un aggiornamento del trojan sotto forma di file DEX eseguibile;
ottenere chiavi di crittografia utilizzate per l'invio al server C2 di alcuni dati — ad esempio, del contenuto degli appunti;
richiedere un gruppo di comandi per la raccolta di informazioni sulle applicazioni installate sul dispositivo, sulla cronologia dei messaggi, sui contatti dalla rubrica del dispositivo e sui dispositivi su cui è effettuato l'accesso a Telegram (la richiesta viene eseguita con un intervallo di 30 minuti);
richiedere al server C2 il link per il download di un aggiornamento di Telegram X;
richiedere al server C2 la configurazione che viene salvata come un file JSON;
richiedere informazioni dal database Redis;
caricare sul server C2 informazioni sul dispositivo durante ogni attività di rete dell'app di messaggistica;
ottenere dal server C2 una lista di bot che quindi vengono aggiunti alla lista dei contatti di Telegram;
ogni 3 minuti inviare al server informazioni sui permessi correnti dell'applicazione, sullo stato del dispositivo (se lo schermo è acceso o spento, se l'applicazione è attiva), nonché il numero di cellulare con il nome e la password dell'account Telegram;
ogni minuto richiedere comandi in un formato analogo ai comandi del database Redis.

Per ottenere comandi tramite il database Redis, Android.Backdoor.Baohuo.1.origin si collega al server corrispondente dei malintenzionati su cui registra il proprio sottocanale — ad esso successivamente si collegano i cybercriminali. Pubblicano in esso task che il backdoor quindi esegue. Il programma malevolo può ricevere i seguenti comandi:

creare una blacklist di chat che non verranno visualizzate all'utente nella finestra di Telegram X;
nascondere all'utente i dispositivi specificati nella lista di quelli autorizzati per il suo account;
bloccare per un determinato tempo la visualizzazione delle notifiche delle chat dalla blacklist creata;
mostrare una finestra con informazioni sull'aggiornamento dell'applicazione Telegram X — dopo il clic su di essa, l'utente viene reindirizzato verso un sito specificato;
inviare al server C2 informazioni su tutte le applicazioni installate;
resettare sul dispositivo infetto la sessione di autenticazione dell'utente corrente in Telegram;
mostrare una finestra con informazioni sull'aggiornamento dell'applicazione Telegram X, in cui all'utente viene suggerito di installare il file APK (se il file è assente, il trojan lo scarica preventivamente);
togliere l'icona Telegram Premium nell'interfaccia dell'applicazione dell'utente corrente;
caricare sul server C2 informazioni dai database di Telegram X, in cui sono conservati la cronologia delle chat, i messaggi e altri dati riservati;
iscrivere l'utente a un canale Telegram specificato;
abbondonare un canale Telegram specificato;
entrare a nome dell'utente in una chat Telegram secondo un link impostato;
ottenere la lista dei dispositivi su cui è effettuata l'autenticazione in Telegram;
richiedere l'ottenimento di un token di autenticazione utente e trasmetterlo al server C2.

Va notato che l'intercettazione dei dati dagli appunti quando l'utente esce dall'app di messaggistica e di nuovo torna nella sua finestra consente di realizzare vari scenari di furto dei dati riservati. Ad esempio, la vittima può copiare la password o la frase mnemonica di accesso al proprio portafoglio crypto, il testo di un documento importante da inviare ai business partner via email ecc., e il trojan intercetterà i dati rimasti negli appunti e li trasmetterà ai malintenzionati.

Dr.Web Security Space per dispositivi mobili rileva e rimuove con successo tutte le versioni conosciute del backdoor Android.Backdoor.Baohuo.1.origin, pertanto, esso non rappresenta alcun pericolo per i nostri utenti.

Maggiori informazioni su Android.Backdoor.Baohuo.1.origin
Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili in III trimestre 2025

Wed, 01 Oct 2025 13:00:38 GMT

1 ottobre 2025

Secondo le statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel III trimestre 2025 sono stati i più diffusi i trojan pubblicitari Android.MobiDash, che mostrano annunci invadenti. Rispetto al periodo di osservazione precedente, venivano rilevati sui dispositivi protetti il 18,19% più spesso.

Sono scesi alla seconda posizione i trojan pubblicitari Android.HiddenAds, la cui attività è in calo per il secondo trimestre consecutivo. Durante gli ultimi tre mesi gli utenti dovevano affrontarli il 71,85% meno spesso. Queste applicazioni malevole nascondono le proprie icone in modo che sia più difficile rilevarle e rimuoverle, e visualizzano annunci pubblicitari, tra cui filmati a schermo intero.

Alla terza posizione di nuovo si trovano i programmi malevoli falsificazione Android.FakeApp, che vengono utilizzati dai malintenzionati in vari schemi fraudolenti. Il numero di rilevamenti è diminuito del 7,49%. Invece di fornire le funzionalità dichiarate, tali trojan spesso caricano vari siti — ad esempio siti fraudolenti e malevoli, nonché siti di casinò online e di scommesse.

I trojan bancari più diffusi restano i campioni della famiglia Android.Banker, nonostante una diminuzione dell'attività del 38,88%. I malintenzionati li utilizzano per ottenere un accesso illegale a conti bancari e rubare denaro. Questi trojan possono visualizzare finestre di phishing per rubare login e password, imitare l'aspetto esteriore dei veri programmi di online banking, intercettare messaggi SMS per ottenere codici monouso ecc.

Sono seguiti dai trojan Android.BankBot, che venivano rilevati il 18,91% più spesso. Essi anche cercano di ottenere l'accesso ad account di online banking di utenti intercettando i codici di conferma. Inoltre, questi trojan bancari possono eseguire vari comandi dei cybercriminali, e alcuni di essi consentono di gestire in remoto i dispositivi infetti.

Chiudono la top tre dei leader i campioni della famiglia Android.SpyMax, che sono basati sul codice sorgente del trojan spia SpyNote. I rilevamenti sono stati il 17,25% meno frequenti rispetto al II trimestre. Questi malware possiedono una vasta gamma di funzionalità malevole, tra l'altro, consentono di gestire in remoto i dispositivi.

Ad agosto abbiamo riferito una campagna di distribuzione di un backdoor multifunzionale Android.Backdoor.916.origin, che i criminali informatici utilizzano per rubare dati riservati e spiare utenti di dispositivi Android. I malintenzionati inviavano alle potenziali vittime un messaggio in vari sistemi di messaggistica istantanea suggerendo l'installazione di un "antivirus" dal file APK allegato. Il laboratorio antivirus Doctor Web ha individuato le prime versioni di questo programma malevolo ancora a gennaio 2025, e da quel momento continua a monitorarne l'evoluzione. Secondo le valutazioni dei nostri esperti, il backdoor viene impiegato negli attacchi mirati e non è destinato alla distribuzione di massa. L'obiettivo principale dei cybercriminali sono rappresentanti di imprese russe.

Durante il III trimestre sullo store di app Google Play venivano distribuite numerose applicazioni malevole e indesiderate, che in totale contano oltre 1.459.000 installazioni. Tra queste, decine dei trojan Android.Joker, che abbonano vittime a servizi a pagamento, nonché le applicazioni falsificazio Android.FakeApp. Inoltre, i nostri analisti dei virus hanno individuato un ennesimo programma che presumibilmente consentirebbe di convertire premi virtuali in denaro reale.

Principali tendenze di II trimestre

Trojan pubblicitari Android.MobiDash sono le minacce più diffuse
Continua il calo dell'attività dei trojan pubblicitari Android.HiddenAds
Aumentato il numero di attacchi dei trojan bancari della famiglia Android.BankBot
Diminuita l'attività dei trojan bancari Android.Banker e Android.SpyMax
Cybercriminali utilizzano il backdoor multifunzionale Android.Backdoor.916.origin per attacchi a rappresentanti di imprese russe
Sullo store di app Google Play venivano distribuiti numerosi programmi malevoli

Secondo i dati di Dr.Web Security Space per dispositivi mobili

Android.MobiDash.7859: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.
Android.FakeApp.1600: Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.
Android.Click.1812: Rilevamento di mod malevole dell'applicazione di messaggistica WhatsApp, che impercettibilmente per l'utente possono caricare vari siti in modalità background.
Android.HiddenAds.673.origin: Programma trojan per la visualizzazione di pubblicità invadenti. I campioni della famiglia Android.HiddenAds spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Triada.5847: Rilevamento di un packer per i trojan della famiglia Android.Triada, studiato per proteggerli dall'analisi e dal rilevamento. Il più delle volte i malintenzionati lo utilizzano insieme a mod malevole dell'applicazione di messaggistica Telegram, in cui questi trojan sono direttamente integrati.

Program.FakeMoney.11: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Di solito hanno una lista dei sistemi di pagamento e delle banche più popolari attraverso cui presumibilmente sarebbe possibile trasferire i premi. Ma anche quando gli utenti riescono ad accumulare la somma sufficiente per il prelievo, non ricevono i pagamenti promessi. Con questo record vengono rilevati anche altri software indesiderati basati sul codice di tali programmi.
Program.CloudInject.5
Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi pubblicitari che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.TrackView.1.origin: Applicazione che consente di monitorare utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.

Tool.NPMod.3
Tool.NPMod.1
Tool.NPMod.4: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale dopo la loro modifica.
Tool.LuckyPatcher.2.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.Androlua.1.origin: Rilevamento di una serie di versioni potenzialmente pericolose di un framework specializzato per lo sviluppo di programmi Android nel linguaggio di programmazione di scripting Lua. La logica principale di applicazioni Lua è situata in script corrispondenti che sono cifrati e vengono decifrati dall'interprete prima dell'esecuzione. Spesso questo framework di default chiede l'accesso a un gran numero di autorizzazioni di sistema per il funzionamento. Come risultato, gli script Lua eseguiti attraverso di esso sono in grado di effettuare varie azioni malevole in base alle autorizzazioni ricevute.

Adware.AdPush.3.origin
Adware.Adpush.21846: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle funzionalità delle quali è incorporato un codice per caricare i link di destinazione tramite web view durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati — ad esempio, casinò online e scommesse, siti per adulti.
Adware.Youmi.4: Rilevamento di un modulo adware indesiderato che colloca scorciatoie pubblicitarie sulla schermata iniziale di dispostivi Android.
Adware.Basement.1: Applicazioni che visualizzano annunci pubblicitari indesiderati che spesso portano a siti malevoli e truffaldini. Hanno una base di codice comune con i programmi indesiderati Program.FakeMoney.11.

Minacce su Google Play

Nel III trimestre 2025 il laboratorio antivirus Doctor Web ha registrato sullo store di app Google Play oltre 50 trojan della famiglia Android.Joker, che iscrivono utenti a servizi a pagamento. Venivano distribuiti sotto le vesti di vari software, tra cui app di messaggistica, svariate utility di sistema, programmi per modificare immagini, scattare foto, gestire documenti ecc.

Uno dei trojan era nascosto in un programma per l'ottimizzazione del sistema Clean Boost (Android.Joker.2412), un altro in un'app Convert Text to PDF (Android.Joker.2422) per la conversione del testo in documenti PDF

Inoltre, i nostri specialisti hanno individuato gli ennesimi programmi falsificazione Android.FakeApp, che vengono utilizzati in schemi fraudolenti. Come in precedenza, alcuni di essi venivano spacciati dai cybercriminali per applicazioni finanziarie — guide, tutorial, software per l'accesso a servizi web di investimento. Queste falsificazioni caricavano siti fraudolenti. Altri programmi trojan Android.FakeApp venivano distribuiti sotto le apparenze di giochi e, a determinate condizioni, invece di fornire le funzionalità promesse, caricavano siti di scommesse e casinò online.

Esempi di trojan Android.FakeApp, mascherati da applicazioni a tema finanziario. Android.FakeApp.1889 invitava utenti a controllare la propria alfabetizzazione finanziaria, e Android.FakeApp.1890 a sviluppare la propria mentalità finanziaria

Inoltre, i nostri esperti hanno individuato un programma indesiderato Program.FakeMoney.16, che veniva distribuito con il pretesto di un'applicazione Zeus Jackpot Mania. Gli utenti di questo software ricevevano premi virtuali che quindi presumibilmente potrebbero essere convertiti in denaro reale e prelevati dall'applicazione.

Program.FakeMoney.16 sullo store di app Google Play

Per il "prelievo" del denaro, il programma chiedeva una serie di dati, tuttavia, alla fine le vittime non ricevevano alcun pagamento.

Program.FakeMoney.16 chiede di indicare il nome completo dell'utente e le informazioni sull'account bancario

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili in II trimestre 2025

Tue, 01 Jul 2025 03:00:00 GMT

1 luglio 2025

Secondo le statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel II trimestre 2025 i programmi malevoli più diffusi di nuovo sono stati i trojan pubblicitari di varie famiglie. La maggiore attività si osservava da parte dei campioni della famiglia Android.HiddenAds, nonostante che gli utenti li riscontrassero l'8,62% meno spesso. Sono seguiti dai trojan pubblicitari Android.MobiDash, il numero di attacchi con la partecipazione dei quali è aumentato dell'11,17%. I programmi malevoli Android.FakeApp, utilizzati in vari schemi fraudolenti, chiudono la top tre di leader — venivano rilevati sui dispositivi protetti il 25,17% meno spesso.

È stato notato un aumento dell'attività dei trojan bancari Android.Banker — del 73,15% rispetto al trimestre precedente. Contemporaneamente alcune altre famiglie venivano rilevate meno frequentemente; ad esempio, Android.BankBot — del 37,19%, e Android.SpyMax — del 19,14%.

Ad aprile i nostri analisti dei virus hanno segnalato una campagna per il furto di criptovalute a proprietari di smartphone Android. Nel suo ambito i malintenzionati hanno inserito un trojan, Android.Clipper.31, nel firmware di una serie di dispositivi economici, nascondendolo in una versione alterata dell'applicazione WhatsApp. Questo programma malevolo intercetta i messaggi inviati e ricevuti nell'app di messaggistica, cerca in essi indirizzi di portafogli delle criptovalute Tron ed Ethereum, e li sostituisce con indirizzi appartenenti ai truffatori. Il trojan occulta la sostituzione furtiva, e gli utenti dei dispositivi infetti vedono in tali messaggi i portafogli "giusti". Inoltre, Android.Clipper.31 invia a un server remoto tutte le immagini di jpg, png e jpeg al fine di cercare in esse le frasi mnemoniche per i portafogli crypto delle vittime.

Lo stesso mese abbiamo raccontato di un trojan spia mirato a militari russi. Il programma malevolo chiamato Android.Spy.1292.origin era nascosto in una delle versioni alterate del software cartografico Alpine Quest. Veniva distribuito sia attraverso un falso canale Telegram dell'app, appartenente ai malintenzionati, e sia su uno dei cataloghi di applicazioni Android russi. Android.Spy.1292.origin trasmetteva agli attaccanti vari dati riservati. Tra questi: account dell'utente, suo numero di cellulare, contatti della rubrica, informazioni sulla geolocalizzazione del dispositivo, nonché quelle sui file archiviati su di esso. Su comando dei malintenzionati il trojan poteva rubare file specificati. In particolare, ai malintenzionati interessavano documenti riservati trasmessi tramite i popolari servizi di messaggistica, nonché il file di log delle localizzazioni del programma Alpine Quest.

Oltre a ciò, nel periodo di osservazione passato, il laboratorio dei virus dell'azienda Doctor Web ha individuato ennesime minacce sullo store di app Google Play. Tra queste erano vari trojan, nonché i software pubblicitari indesiderati.

Principali tendenze di II trimestre

Calata l'attività dei trojan pubblicitari Android.HiddenAds
Aumentata l'attività dei trojan pubblicitari Android.MobiDash
Trojan bancari Android.Banker rilevati più frequentemente sui dispositivi protetti, rispetto al trimestre precedente
Sceso il numero di attacchi delle famiglie di trojan bancari Android.BankBot e Android.SpyMax
Nei firmware di una serie di smartphone Android economici rilevato un trojan per il furto di criptovalute
Malintenzionati distribuivano un trojan che spiava militari russi
Nuove minacce rilevate sullo store di app Google Play

Secondo i dati di Dr.Web Security Space per dispositivi mobili

Android.HiddenAds.657.origin
Android.HiddenAds.4214
Android.HiddenAds.4213: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni della famiglia Android.HiddenAds spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.MobiDash.7859: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.
Android.FakeApp.1600: Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.

Program.FakeMoney.11: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Di solito hanno una lista dei sistemi di pagamento e delle banche più popolari attraverso cui presumibilmente sarebbe possibile trasferire i premi. Ma anche quando gli utenti riescono ad accumulare la somma sufficiente per il prelievo, non ricevono i pagamenti promessi. Con questo record vengono rilevati anche altri software indesiderati basati sul codice di tali programmi.
Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi pubblicitari che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.

Tool.NPMod.3
Tool.NPMod.1: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale dopo la loro modifica.
Tool.Androlua.1.origin: Rilevamento di una serie di versioni potenzialmente pericolose di un framework specializzato per lo sviluppo di programmi Android nel linguaggio di programmazione di scripting Lua. La logica principale di applicazioni Lua è situata in script corrispondenti che sono cifrati e vengono decifrati dall'interprete prima dell'esecuzione. Spesso questo framework di default chiede l'accesso a un gran numero di autorizzazioni di sistema per il funzionamento. Come risultato, gli script Lua eseguiti attraverso di esso sono in grado di effettuare varie azioni malevole in base alle autorizzazioni ricevute.
Tool.SilentInstaller.14.origin: Piattaforma software potenzialmente pericolosa che consente alle applicazioni di avviare i file APK senza la loro installazione. Questa piattaforma crea un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui è incorporata. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.Packer.1.origin: Utility packer specializzata per la protezione di applicazioni Android dalla modifica e dal reverse engineering. Non è malevola, ma può essere utilizzata per la protezione di programmi sia innocui che trojan.

Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle funzionalità delle quali è incorporato un codice per caricare i link di destinazione tramite web view durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati — ad esempio, casinò online e scommesse, siti per adulti.
Adware.AdPush.3.origin: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Basement.1: Applicazioni che visualizzano annunci pubblicitari indesiderati che spesso portano a siti malevoli e truffaldini. Hanno una base di codice comune con i programmi indesiderati Program.FakeMoney.11.
Adware.Fictus.1.origin: Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.
Adware.Jiubang.1: Software pubblicitario indesiderato per dispositivi Android, che durante l'installazione di applicazioni visualizza un banner con programmi raccomandati per l'installazione.

Minacce su Google Play

Durante il II trimestre 2025 gli analisti dei virus Doctor Web hanno rilevato sullo store di app Google Play diverse decine di minacce, tra cui svariati programmi falsificazione Android.FakeApp. Questi trojan di nuovo venivano attivamente distribuiti sotto le apparenze di applicazioni a tema finanziario, e invece di fornire le funzionalità promesse, potevano caricare siti fraudolenti.

Android.FakeApp.1863 e Android.FakeApp.1859 — esempi di trojan rilevati. Il primo era nascosto nel programma TPAO e mirato agli utenti turchi che venivano invitati a "gestire facilmente i propri depositi e proventi". Il secondo veniva spacciato dai malintenzionati per "assistente per questioni finanziarie" Quantum MindPro, progettato per un pubblico di lingua francese

Un'altra copertura popolare per i simili programmi falsificazione rimangono i giochi. A determinate condizioni, invece di eseguire le funzionalità gioco, essi caricano siti di casinò online e di scommesse.

Android.FakeApp.1840 (Pino Bounce) — uno dei falsi giochi che poteva caricare un sito di casinò online

Oltre a ciò, i nostri specialisti hanno rilevato un software pubblicitario indesiderato Adware.Adpush.21912. Era nascosto in un programma con materiali informativi su criptovalute Coin News Promax. Adware.Adpush.21912 visualizza notifiche, al clic sulle quali viene caricato in una WebView un link impostato dal server di gestione.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili in I trimestre 2025

Thu, 27 Mar 2025 00:00:00 GMT

27 marzo 2025

Secondo le statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel I trimestre 2025 i trojan pubblicitari Android.HiddenAds sono rimasti i programmi malevoli per SO Android più diffusi. Rispetto al IV trimestre scorso, i loro rilevamenti sui dispositivi protetti sono stati più del doppio. Il secondo posto hanno ottenuto le applicazioni malevole Android.FakeApp, utilizzate dai malintenzionati in vari schemi fraudolenti; la loro attività è aumentata di quasi 8%. Terzi si sono classificati i trojan pubblicitari della famiglia Android.MobiDash — il loro numero di rilevamenti è cresciuto di quasi 5 volte.

Una simile dinamica veniva osservata anche tra molti trojan bancari. Così, è stata registrata una crescita del numero di attacchi da parte dei campioni delle famiglie Android.BankBot e Android.Banker — del 20,68% e 151,71% rispettivamente. Allo stesso tempo, i trojan Android.SpyMax, la cui attività cresceva quasi per tutto il 2024, venivano rilevati il 41,94% in meno rispetto al trimestre prima.

Durante gli ultimi 3 mesi, gli specialisti Doctor Web hanno individuato decine di nuove minacce informatiche sullo store di app Google Play. Accanto a un numero di trojan Android.FakeApp tradizionalmente alto, il nostro laboratorio dei virus ha registrato lì i programmi malevoli per il furto di criptovalute, nonché gli ennesimi trojan che visualizzano annunci invadenti.

PRINCIPALI TENDENZE DI I TRIMESTRE

Crescita dell'attività dei trojan pubblicitari
Aumento del numero di attacchi dei banker Android.BankBot e Android.Banker
Calo dell'attività dei trojan spia Android.SpyMax
Su Google Play comparse molteplici nuove applicazioni malevole

Secondo i dati di Dr.Web Security Space per dispositivi mobili

Android.HiddenAds.657.origin
Android.HiddenAds.655.origin
Android.HiddenAds.4214: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni della famiglia Android.HiddenAds spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.FakeApp.1600: Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.
Android.MobiDash.7859: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.

Program.FakeMoney.11
Program.FakeMoney.14: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Di solito hanno una lista dei sistemi di pagamento e delle banche più popolari attraverso cui presumibilmente sarebbe possibile trasferire i premi. Ma anche quando gli utenti riescono ad accumulare una somma sufficiente per il prelievo, non ricevono i pagamenti promessi. Con questo record vengono rilevati anche altri software indesiderati basati sul codice di tali programmi.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web com Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.

Tool.NPMod.1: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale dopo la loro modifica.
Tool.Androlua.1.origin: Rilevamento di una serie di versioni potenzialmente pericolose di un framework specializzato per lo sviluppo di programmi Android nel linguaggio di programmazione di scripting Lua. La logica principale di applicazioni Lua è situata in script corrispondenti che sono cifrati e vengono decifrati dall'interprete prima dell'esecuzione. Spesso questo framework di default chiede l'accesso a un gran numero di autorizzazioni di sistema per il funzionamento. Come risultato, gli script Lua eseguiti attraverso di esso sono in grado di effettuare varie azioni malevole in base alle autorizzazioni ricevute.
Tool.SilentInstaller.14.origin: Piattaforma software potenzialmente pericolosa che consente alle applicazioni di avviare i file APK senza la loro installazione. Questa piattaforma crea un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui è incorporata. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.Packer.1.origin: Utility packer specializzata per la protezione di applicazioni Android dalla modifica e dal reverse engineering. Non è malevola, ma può essere utilizzata per la protezione di programmi sia innocui che trojan.

Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle funzionalità delle quali è incorporato un codice per caricare i link di destinazione tramite web view durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati — ad esempio, casinò online e scommesse, siti per adulti.
Adware.Basement.1: Applicazioni che visualizzano annunci pubblicitari indesiderati che spesso portano a siti malevoli e truffaldini. Hanno una base di codice comune con i programmi indesiderati Program.FakeMoney.11.
Adware.AdPush.3.origin
Adware.Adpush.21846: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Fictus.1.origin: Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.

Minacce su Google Play

Nel I trimestre 2025, il laboratorio dei virus dell'azienda Doctor Web ha individuato su Google Play diverse decine di applicazioni malevole. Tra di esse sono diverse varianti dei trojan Android.HiddenAds.4213 e Android.HiddenAds.4215, che nascondono la propria presenza sui dispositivi infetti e iniziano a visualizzare pubblicità sopra altri programmi e l'interfaccia del sistema operativo. Erano nascosti in applicazioni per la ripresa di foto e video con effetti vari, di fotoritocco, una raccolta di immagini e un diario di salute della donna.

Trojan pubblicitari Android.HiddenAds, nascosti in programmi Time Shift Cam e Fusion Collage Editor

Inoltre, i nostri specialisti hanno rilevato i programmi malevoli Android.CoinSteal.202, Android.CoinSteal.203 e Android.CoinSteal.206, che sono progettati per il furto di criptovalute e venivano distribuiti sotto false apparenze di software ufficiali delle piattaforme blockchain Raydium e Aerodrome Finance, nonché dello scambio di criptovalute Dydx.

Programmi Raydium e Dydx Exchange — trojan per furti di criptovalute

All'avvio le applicazioni malevole invitano le potenziali vittime a inserire una frase mnemonica (seed phrase) presumibilmente per connettere un portafoglio crypto, ma in realtà, i dati inseriti vengono trasmessi ai malintenzionati. Per fuorviare gli utenti completamente, i moduli per l'inserimento delle frasi mnemoniche possono essere mascherati come richieste da parte di altre piattaforme crypto. Come è mostrato nell'esempio sottostante, Android.CoinSteal.206 ha visualizzato un modulo di phishing presumibilmente a nome dello scambio di criptovalute PancakeSwap.

Oltre a ciò, su Google Play di nuovo venivano distribuiti i programmi falsificazione Android.FakeApp. Molti essi venivano spacciati dai truffatori per applicazioni a tema finanziario, inclusi tutorial, strumenti per l'accesso a servizi di investimento, programmi per la contabilità di finanze personali. Caricavano vari siti di phishing, tra cui quelli utilizzati dai malintenzionati per raccogliere dati personali.

Esempi di programmi malevoli Android.FakeApp, distribuiti sotto apparenze di software finanziari: «Умные Деньги» (trad. da russ. "Denaro intelligente") — Android.FakeApp.1803, Economic Union — Android.FakeApp.1777

Altri trojan Android.FakeApp a determinate condizioni caricavano siti di scommesse e casinò online. Tali varianti dei programmi malevoli venivano distribuite sotto finte sembianze di svariati giochi e altri software — ad esempio, attrezzo allenatore per digitazione veloce e tutorial di disegno. Tra di esse c'erano anche nuove varianti del trojan Android.FakeApp.1669.

Esempi di programmi malevoli falsificazione che, invece delle funzionalità promesse, potevano caricare siti di casinò online e scommesse

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili per il 2024

Thu, 30 Jan 2025 00:00:00 GMT

30 gennaio 2025

Nel 2024 le minacce Android più diffuse di nuovo sono stati i trojan pubblicitari. Rispetto all'anno precedente, è aumentata l'attività dei software fraudolenti, trojan ransomware, clicker e trojan bancari. Tra questi ultimi, sono diventati più diffusi rispetto al 2023 i trojan bancari più semplici che rubano solo le credenziali di accesso all'online banking e i codici di conferma dagli SMS.

Tra i programmi indesiderati, sono state le più attive le applicazioni che invitano gli utenti a completare vari compiti per ricompense virtuali le quali quindi presumibilmente sarebbe possibile convertire in denaro reale. I programmi potenzialmente pericolosi più frequentemente rilevati sono state le utility che consentono di avviare applicazioni Android senza installazione. Mentre i software pubblicitari più attivi si sono rivelate versioni specialmente modificate dell'applicazione di messaggistica WhatsApp, nelle funzionalità delle quali è incorporato un codice per il caricamento di link pubblicitari.

Nel corso dell'anno, gli analisti dei virus dell'azienda Doctor Web hanno individuato centinaia di nuove minacce sullo store di app Google Play, le quali in totale sono state scaricate oltre 26.700.000 volte. Tra di esse erano i programmi malevoli, in particolare, un trojan spia, nonché le applicazioni indesiderate e quelle pubblicitarie.

I nostri specialisti hanno rilevato inoltre un nuovo attacco a box TV su base Android — circa 1.300.000 dispositivi sono stati colpiti da un backdoor che infettava l'area di sistema e su comando dei malintenzionati poteva scaricare e installare software di terze parti.

Oltre a questo, gli analisti dei virus Doctor Web hanno notato una crescita della popolarità di una serie di tecniche volte a complicare l'analisi dei programmi malevoli Android e aggirarne il rilevamento dagli antivirus. Includevano varie manipolazioni con il formato di archivi ZIP (il formato ZIP è la base di file APK di applicazioni Android), manipolazioni con il file di configurazione di programmi AndroidManifest.xml e altre ancora. Il più delle volte, queste tecniche venivano riscontrate nei trojan bancari.

TENDENZE DELL'ANNO PASSATO

Programmi malevoli che visualizzano pubblicità rimangono le minacce più diffuse
Aumento dell'attività dei trojan bancari
Cybercriminali sempre più spesso utilizzano i semplici trojan bancari Android.Banker che rubano solo i dati per l'accesso ad account di online banking e i codici di conferma da SMS
Malintenzionati sempre più spesso ricorrono alla manipolazione del formato APK e dei componenti strutturali di applicazioni per aggirare il rilevamento e complicare l'analisi dei malware
Crescita del numero di rilevamenti dei trojan ransomware Android.Locker e dei trojan clicker Android.Click
Comparsa di numerose nuove minacce sullo store di app Google Play

Eventi più interessanti del 2024

A maggio scorso gli esperti dell'azienda Doctor Web hanno riferito di un trojan clicker, Android.Click.414.origin, trovato in un'applicazione per la gestione di sex toys e in un software per il monitoraggio dell'attività fisica. Entrambi i programmi venivano distribuiti attraverso lo store Google Play e in totale sono stati installati più di 1.500.000 volte. Android.Click.414.origin aveva un'architettura modulare e tramite i suoi componenti eseguiva compiti specifici. Così, il trojan apriva impercettibilmente siti pubblicitari e compieva varie azioni su di essi. Come esempio, era in grado di scorrere il contenuto di pagine, inserire testo in moduli, disattivare l'audio su pagine web e catturare i loro screenshot per analizzarne il contenuto ed effettuare successivamente clic sulle aree richieste. Inoltre, Android.Click.414.origin trasmetteva sul server di comando informazioni dettagliate sul dispositivo infetto. Il clicker intenzionalmente non attaccava determinati utenti — non si avviava sui dispositivi su cui era impostata la lingua di interfaccia cinese.

Alcune versioni dei programmi Love Spouse e QRunning nascondevano il trojan Android.Click.414.origin

A settembre i nostri specialisti hanno rivelato i dettagli dell'analisi dei casi di infezione di box TV su base Android da un backdoor, Android.Vo1d. Questo programma malevolo modulare è entrato su quasi 1.300.000 dispositivi di utenti da 197 paesi. Collocava i propri componenti nell'area di sistema ed era in grado su comando dei malintenzionati di scaricare e installare di nascosto software di terze parti.

Paesi con il maggior numero di box TV infetti dal backdoor Android.Vo1d rilevati

A novembre i nostri analisti dei virus, sull'esempio di un trojan, Android.FakeApp.1669, hanno raccontato come i malintenzionati utilizzano il protocollo DNS per la connessione nascosta dei malware ai server di comando e controllo. Android.FakeApp.1669 è un trojan piuttosto primitivo il cui compito si limita a caricare i siti impostati. Dalla maggioranza delle minacce simili, esso si differenzia per quello che ottiene l'indirizzo dei siti di destinazione dal record TXT del server DNS malevolo, per cui utilizza codice modificato della libreria open source dnsjava. Con tutto ciò, Android.FakeApp.1669 si manifesta solo in caso di connessione a internet tramite determinati provider — negli altri casi funziona come software innocuo.

Esempio di record TXT di dominio preimpostato che il server DNS ha fornito in risposta a una richiesta tramite l'utility Linux dig durante l'analisi di una delle varianti di Android.FakeApp.1669

Statistiche

Secondo i dati delle statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel 2024 le minacce più diffuse sono diventati i programmi malevoli, che hanno rappresentato il 74,67% di tutti i casi di rilevamento. Seguono le applicazioni pubblicitarie con il 10,96%. La terza posizione è occupata dai programmi potenzialmente pericolosi con un indicatore del 10,55%. I quarti per diffusione sono stati i programmi indesiderati — gli utenti li riscontravano nel 3,82% dei casi.

Applicazioni malevole

I programmi malevoli per Android più diffusi di nuovo sono stati i trojan pubblicitari della famiglia Android.HiddenAds. Nell'anno passato, la loro quota sul totale delle applicazioni malevole rilevate dall'antivirus Dr.Web è aumentata di 0,34 pp. ammontando al 31,95% dei rilevamenti.

Tra i campioni di questa famiglia, il più attivo è stato Android.HiddenAds.3956 (il 15,10% dei rilevamenti della famiglia e il 4,84% del numero totale rilevamenti malware). Questa è una delle tante varianti del programma malevolo Android.HiddenAds.1994, che gli utenti riscontrano ormai da diversi anni. La versione Android.HiddenAds.3956 insieme ad altre varianti è comparsa nel 2023 e secondo le nostre previsioni poteva salire alla posizione leader nella famiglia, il che, infine, è successo. Nel 2024 anche risultano diffuse le nuove varianti Android.HiddenAds.3980, Android.HiddenAds.3989, Android.HiddenAds.3994, Android.HiddenAds.655.origin, Android.HiddenAds.657.origin e una serie di altre.

È diventata notevole anche la sottofamiglia di trojan Android.HiddenAds.Aegis. A differenza della maggior parte degli altri programmi malevoli Android.HiddenAds, i campioni di questo gruppo possiedono la capacità di avvio automatico e alcune altre particolarità. Il più frequentemente sui dispositivi protetti dall'antivirus Dr.Web venivano rilevate le varianti Android.HiddenAds.Aegis.1, Android.HiddenAds.Aegis.4.origin, Android.HiddenAds.Aegis.7.origin e Android.HiddenAds.Aegis.1.origin.

I secondi malware più diffusi sono stati i trojan Android.FakeApp, che i malintenzionati utilizzano nella realizzazione di vari schemi fraudolenti. Lo scorso anno essi hanno rappresentato il 18,28% di tutti i rilevamenti malware, il che è di 16,45 pp. in più rispetto all'anno precedente. Il più delle volte, tali trojan caricano siti indesiderati progettati per attacchi di phishing e frodi online.

Alla terza posizione con una quota dell'11,52% (scesi di 16,7 pp. rispetto al 2023) si trovano i trojan Android.Spy, che possiedono ampie funzionalità di spionaggio. Come un anno prima, il campione più diffuso della famiglia è diventato Android.Spy.5106 — ha rappresentato il 5,95% dei rilevamenti programmi malevoli.

Nel 2024 si osservava una tendenza multidirezionale nella diffusione dei software malevoli progettati per il download e l'installazione di altri programmi e capaci di eseguire codice arbitrario. Così, rispetto all'anno prima, la quota dei downloader Android.DownLoader è diminuita di 0,49 pp. scendendo all'1,69%, quella dei trojan Android.Mobifun è scesa di 0,15 pp. allo 0,10%, e quella dei trojan Android.Xiny di 0,14 pp. allo 0,13%. Allo stesso tempo, venivano rilevati più spesso i trojan Android.Triada (il 2,74% dei casi, una crescita di 0,6 pp.) e Android.RemoteCode (il 3,78% dei casi, una crescita di 0,95 pp.).

La quota delle applicazioni malevole protette dai software packer Android.Packed è scesa dal 7,98% al 5,49%, praticamente tornando al livello del 2022. Anche dal 10,06% al 5,38% si è ridotto il numero di attacchi tramite i trojan pubblicitari Android.MobiDash. Allo stesso tempo, è leggermente aumentato il numero di rilevamenti dei trojan ransomware Android.Locker (dall'1,15% all'1,60%) e dei trojan Android.Proxy (dallo 0,57% allo 0,81%). Questi ultimi consentono di utilizzare i dispositivi Android infetti per reindirizzare attraverso di essi il traffico di rete dei malintenzionati. Inoltre, è cresciuta considerevolmente l'attività dei programmi malevoli Android.Click, capaci di aprire siti pubblicitari ed eseguire clic su pagine web (saliti dallo 0,82% al 3,56%).

Le dieci applicazioni malevole più frequentemente rilevate nel 2024 sono:

Android.FakeApp.1600: Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.
Android.Spy.5106: Rilevamento di una delle varianti di un programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.HiddenAds.3956
Android.HiddenAds.3851
Android.HiddenAds.655.origin
Android.HiddenAds.3994
Android.HiddenAds.657.origin: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Click.1751: Trojan che viene incorporato in mods dell'applicazione di messaggistica istantanea WhatsApp e si maschera da classi delle librerie di Google. Nel corso dell'utilizzo dell'applicazione vettore, Android.Click.1751 effettua richieste a uno dei server di comando e controllo. In risposta, il trojan riceve due link, uno dei quali è destinato agli utenti di lingua russa, e il secondo a tutti gli altri utenti. Quindi visualizza una finestra di dialogo con il contenuto ricevuto dal server, e dopo che l'utente fa clic sul pulsante di conferma, carica il link corrispondente nel browser.
Android.HiddenAds.Aegis.1: Programma trojan che cela la propria presenza su dispositivi Android e visualizza annunci invadenti. Appartiene a una sottofamiglia che differisce dagli altri campioni della famiglia Android.HiddenAds per una serie di caratteristiche. Ad esempio, tali trojan sono in grado di avviarsi in autonomo dopo l'installazione. Inoltre, in essi è realizzato un meccanismo che consente ai loro servizi di rimanere costantemente in esecuzione. In una serie di casi, in essi possono essere impiegate anche le funzionalità nascoste del sistema operativo Android.
Android.MobiDash.7815: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.

Software indesiderati

Il programma indesiderato più frequentemente rilevato nel 2024 è stato Program.FakeMoney.11. Ha rappresentato oltre la metà — il 52,10% — del numero totale dei software indesiderati rilevati sui dispositivi protetti. Appartiene a una classe di applicazioni che suggeriscono agli utenti di guadagnare completando varie attività, ma in fin dei conti non pagano alcuna reale ricompensa.

I programmi che l'antivirus Dr.Web rileva come Program.CloudInject.1 si sono collocati alla seconda posizione con una quota del 19,21% (una crescita di 9,75 pp. rispetto all'anno prima). Tali applicazioni vengono modificate tramite il servizio cloud CloudInject — ad esse vengono aggiunti autorizzazioni pericolose e un codice offuscato il cui scopo non può essere controllato.

L'attività delle applicazioni Program.FakeAntiVirus.1 diminuisce per il secondo anno consecutivo — esse sono rimaste terze per diffusione con un indicatore del 10,07%, il che è di 9,35 pp. in meno rispetto al 2023. Questi programmi simulano il funzionamento degli antivirus, rilevano le minacce inesistenti e suggeriscono ai proprietari di dispostivi Android di acquistare una versione completa per "risolvere" i presunti problemi rilevati.

Durante l'anno passato gli utenti si imbattevano in vari programmi per la sorveglianza e il controllo dell'attività. Tali software possono essere utilizzati per raccogliere dati sia con il consenso dei proprietari di dispositivi e sia a loro insaputa — nel secondo caso, essi effettivamente si trasformano in strumenti di spionaggio. Il più frequentemente sui dispositivi protetti da Dr.Web venivano rilevati i programmi per monitoraggio Program.TrackView.1.origin (2,40% dei casi), Program.SecretVideoRecorder.1.origin (2,03% dei casi), Program.wSpy.3.origin (0,98% dei casi), Program.SecretVideoRecorder.2.origin (0,90% dei casi), Program.Reptilicus.8.origin (0,64% dei casi), Program.wSpy.1.origin (0,39% dei casi) e Program.MonitorMinor.11 (0,38% dei casi).

Inoltre, erano diffusi i programmi Android Program.Opensite.2.origin, il cui obiettivo è quello di caricare siti impostati e visualizzare annunci pubblicitari. La loro quota ha ammontato allo 0,60% dei rilevamenti dei software indesiderati.

Le dieci applicazioni indesiderate più spesso rilevate nel 2024 sono:

Program.FakeMoney.11
Program.FakeMoney.7: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Di solito hanno una lista dei sistemi di pagamento e delle banche più popolari attraverso cui presumibilmente sarebbe possibile trasferire i premi. Ma anche quando gli utenti riescono ad accumulare la somma sufficiente per il prelievo, non ricevono i pagamenti promessi. Con questo record vengono rilevati anche altri software indesiderati basati sul codice di tali programmi.
Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi pubblicitari che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.
Program.SecretVideoRecorder.1.origin
Program.SecretVideoRecorder.2.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.
Program.wSpy.3.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.
Program.Reptilicus.8.origin: Applicazione che consente di seguire i proprietari di dispositivi Android. È in grado di controllare la posizione del dispositivo, raccogliere dati circa la corrispondenza SMS e conversazioni sui social network, ascoltare telefonate e l'ambiente, catturare screenshot, tenere traccia dell'input da tastiera, copiare file dal dispositivo ed eseguire altre azioni ancora.
Program.Opensite.2.origin: Rilevamento di programmi Android affini il cui obiettivo è quello di caricare siti impostati e visualizzare annunci pubblicitari. Tali applicazioni sono spesso mascherate da altri software. Ad esempio, esistono varianti che vengono distribuite sotto le apparenze di un lettore video YouTube. Caricano il vero sito del servizio web e visualizzano banner pubblicitari tramite SDK pubblicitari connessi.

Programmi potenzialmente pericolosi

Le utility Tool.SilentInstaller, che consentono di avviare le applicazioni Android senza la loro installazione, nell'anno passato hanno mantenuto le posizioni leader tra i rilevamenti dei software potenzialmente pericolosi. In totale, hanno rappresentato oltre un terzo di tutti i programmi di questo tipo rilevati. Il più spesso sui dispositivi venivano riscontrate le varianti Tool.SilentInstaller.17.origin (16,17%), Tool.SilentInstaller.14.origin (9,80%), Tool.SilentInstaller.7.origin (3,25%) e Tool.SilentInstaller.6.origin (2,99%).

Altri diffusi programmi potenzialmente pericolosi sono state le applicazioni modificate tramite l'utility NP Manager. Questa utility incorpora nel software di destinazione un modulo speciale che consente di bypassare il controllo della firma digitale dopo la modifica effettuata. L'antivirus Dr.Web rileva tali programmi come diverse varianti della famiglia Tool.NPMod. Tra queste, il più frequentemente venivano rilevate le variazioni Tool.NPMod.1. Hanno notevolmente rafforzato le proprie posizioni nel corso dell'anno: rappresentano il 16,49% dei rilevamenti delle applicazioni potenzialmente pericolose, il che è di 11,68 pp. in più rispetto al 2023. Contemporaneamente, la quota dei software modificati dall'utility NP Manager, che vengono rilevati da un altro record di virus — Tool.NPMod.2, — ha ammontato al 7,92%. Come risultato, in totale, i campioni di questa famiglia sono stati responsabili di quasi un quarto di tutti i rilevamenti dei programmi potenzialmente pericolosi.

Tra i leader sono state anche le applicazioni protette da un packer Tool.Packer.1.origin — venivano rilevate nel 13,17% dei casi il che è di 12,38 pp. in più rispetto all'anno prima. Inoltre, dal 3,10% al 3,93% è cresciuto il numero di rilevamenti di Tool.Androlua.1.origin. Questo è un framework che consente di modificare i programmi Android installati ed eseguire gli script Lua, che potenzialmente possono essere malevoli.

Con tutto ciò, l'attività di uno dei leader dell'anno 2023, quella della famiglia di utility Tool.LuckyPatcher, al contrario, è alquanto diminuita — dal 14,02% all'8,16%. Queste utility consentono di modificare i programmi Android con l'aggiunta ad essi di script scaricati da internet. Sono stati meno frequenti anche i programmi protetti da un'utility di offuscamento Tool.Obfuscapk (un calo dal 3,22% all'1,05%), nonché da un packer Tool.ApkProtector (un calo dal 10,14% al 3,39%).

Le dieci applicazioni potenzialmente pericolose più diffuse rilevate su dispositivi Android nel 2024 sono:

Tool.NPMod.1
Tool.NPMod.2: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale dopo la loro modifica.
Tool.SilentInstaller.17.origin
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Creano un ambiente di esecuzione virtuale che non influisce sul sistema operativo principale.
Tool.Packer.1.origin: Utility packer specializzata per la protezione di applicazioni Android dalla modifica e dal reverse engineering. Non è malevola, ma può essere utilizzata per la protezione di programmi sia innocui che trojan.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.Androlua.1.origin: Rilevamento di una serie di versioni potenzialmente pericolose di un framework specializzato per lo sviluppo di programmi Android nel linguaggio di programmazione di scripting Lua. La logica principale di applicazioni Lua è situata in script corrispondenti che sono cifrati e vengono decifrati dall'interprete prima dell'esecuzione. Spesso questo framework di default chiede l'accesso a un gran numero di autorizzazioni di sistema per il funzionamento. Come risultato, gli script Lua eseguiti attraverso di esso sono in grado di effettuare varie azioni malevole in base alle autorizzazioni ricevute.
Tool.Packer.3.origin: Rilevamento di programmi Android il codice dei quali è cifrato e offuscato dall'utility NP Manager.

Applicazioni pubblicitarie

Il software pubblicitario più diffuso nel 2024 è diventata una nuova famiglia di programmi Adware.ModAd — ha rappresentato il 47,45% dei rilevamenti. I capoclassifica dell'anno precedente, i campioni della famiglia Adware.Adpush finiscono secondi con il 14,76% (un calo del numero di rilevamenti di 21,06 pp.). Alla terza posizione con un indicatore dell'8,68% si è collocata un'altra nuova famiglia di applicazioni pubblicitarie Adware.Basement.

Risultano diffuse anche le famiglie Adware.Airpush (la quota è scesa dall'8,59% al 4,35%), Adware.Fictus (un calo dal 4,41% al 3,29%), Adware.Leadbolt (un calo dal 4,37% al 2,26%), Adware.ShareInstall (un calo dal 5,04% all'1,71%). I programmi pubblicitari Adware.MagicPush che nel 2023 occupavano la seconda posizione hanno significativamente ridotto l'attività e non sono riusciti a entrare nella top ten spostandosi in undicesima posizione con un indicatore dell'1,19% (un calo di 8,39 pp.).

Le dieci applicazioni pubblicitarie più diffuse rilevate su dispositivi Android nel 2024 sono:

Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle funzionalità delle quali è incorporato un codice per caricare i link di destinazione tramite web view durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati — ad esempio, casinò online e scommesse, siti per adulti.
Adware.Basement.1: Applicazioni che visualizzano annunci pubblicitari indesiderati che spesso portano a siti malevoli e truffaldini. Hanno una base di codice comune con i programmi indesiderati Program.FakeMoney.11.
Adware.Fictus.1
Adware.Fictus.1.origin: Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.
Adware.Adpush.21846
Adware.AdPush.39.origin: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Airpush.7.origin: Moduli software che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.
Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.
Adware.Youmi.4: Rilevamento di un modulo adware indesiderato che colloca scorciatoie pubblicitarie sulla schermata iniziale di dispostivi Android.
Adware.Inmobi.1: Rilevamento di alcune versioni di un SDK pubblicitario Inmobi, che sono in grado di effettuare telefonate e aggiungere eventi al calendario di dispostivi Android.

Minacce su Google Play

Nel 2024 gli analisti dei virus dell'azienda Doctor Web hanno individuato sullo store di app Google Play oltre 200 minacce con più di 26.700.000 download complessivi. Oltre al trojan Android.Click.414.origin tra di esse erano molti altri malware — ad esempio, i trojan pubblicitari Android.HiddenAds. Essi venivano distribuiti sotto le apparenze dei più svariati software: app di fotoritocco, scanner di codici a barre, raccolte di immagini e persino un allarme "antifurto" per la protezione dello smartphone dalle mani sbagliate. Tali trojan nascondono le proprie icone dopo l'installazione e cominciano a visualizzare una pubblicità aggressiva che si sovrappone all'interfaccia del sistema e degli altri programmi e interferisce con il normale utilizzo del dispositivo.

Esempi di trojan pubblicitari individuati su Google Play nel 2024. Android.HiddenAds.4013 si nascondeva nell'app di fotoritocco Cool Fix Photo Enhancer, Android.HiddenAds.4034 — nella raccolta di immagini Cool Darkness Wallpaper, Android.HiddenAds.4025 — nel programma per la scansione di codici a barre QR Code Assistant, e Android.HiddenAds.656.origin — nel programma allarme Warning Sound GBD

I nostri specialisti inoltre hanno rilevato vari programmi trojan che i malintenzionati hanno protetto da un sofisticato packer software.

Nell'app Lie Detector Fun Prank si nascondeva il trojan Android.Packed.57156, e nel programma Speaker Dust and Water Cleaner il trojan Android.Packed.57159, i quali erano protetti da un packer

Altri programmi malevoli trovati sono stati i campioni della famiglia Android.FakeApp, che vengono utilizzati in vari schemi fraudolenti. Il principale compito della maggior parte di tali trojan è quello di aprire il link preimpostato, mentre, a determinate condizioni, possono funzionare anche come software dichiarato. Molti di essi venivano distribuiti sotto le finte spoglie di vari programmi finanziari (ad esempio, guide e tutorial, calcolatrici di redditività, applicazioni per l'accesso al trading di borsa, strumenti per la contabilità domestica), taccuini, diari, programmi per la partecipazione a quiz e sondaggi e altri ancora. Essi caricavano siti truffa a tema investimenti.

Esempi di trojan Android.FakeApp che caricavano link di siti truffa: Android.FakeApp.1681 (SenseStrategy), Android.FakeApp.1708 (QuntFinanzas)

Una parte dei programmi falsificazione Android.FakeApp veniva distribuita sotto le apparenze di svariati giochi. Molti di essi potevano anche fornire le funzionalità dichiarate, ma il loro compito principale era caricare siti di casinò online e scommesse.

Esempi di trojan Android.FakeApp, spacciati per giochi, che caricavano link di siti di scommesse e casinò online: Android.FakeApp.1622 (3D Card Merge Game), Android.FakeApp.1630 (Crazy Lucky Candy)

Alcuni trojan di questa famiglia di nuovo erano mascherati da applicazioni per la ricerca di lavoro. Tali programmi falsificazione caricano false liste di offerte lavoro e suggeriscono agli utenti di stendere un "curriculum" fornendo i dati personali. In altri casi, i trojan possono invitare le potenziali vittime a mettersi in contatto con il "datore di lavoro" tramite un'app di messaggistica. In realtà, le potenziali vittime scriveranno ai criminali, i quali cercheranno di attirarle in uno o altro schema fraudolento.

Esempi di trojan Android.FakeApp, che venivano spacciati dai malintenzionati per programmi per la ricerca di lavoro: Android.FakeApp.1627 (Aimer) Android.FakeApp.1703 (FreeEarn)

Inoltre, su Google Play sono state rilevate ulteriori applicazioni trojan che iscrivono utenti a servizi a pagamento. Uno di queste era Android.Subscription.22 — veniva distribuito sotto le apparenze dell'app di fotoritocco InstaPhoto Editor.

Trojan Android.Subscription.22, studiato per abbonare utenti a servizi a pagamento

Altri simili trojan erano i campioni delle famiglie affini Android.Joker e Android.Harly, che hanno un'architettura modulare. Quelli primi sono in grado di scaricare i componenti ausiliari da internet, e quelli secondi differiscono in quanto di solito conservano i moduli necessari in forma crittografata tra le proprie risorse.

Esempi di programmi che iscrivevano vittime a servizi a pagamento. Android.Joker.2280 era nascosto in un'app con oroscopi, My Horoscope, e Android.Harly.87 in un gioco, BlockBuster

Oltre ai programmi malevoli, gli specialisti Doctor Web hanno rilevato su Google Play nuovi software indesiderati, tra cui erano diverse varianti di Program.FakeMoney.11 e Program.FakeMoney.14. Questi programmi appartengono a una famiglia di applicazioni che suggeriscono agli utenti di eseguire varie attività (spesso, visualizzare pubblicità) per ricompense virtuali. Le ricompense in seguito presumibilmente potrebbero essere convertite in denaro reale o in premi, ma per ritirare il "guadagno", l'utente dovrebbe accumulare una determinata somma. Tuttavia, anche quando è riuscito a farlo, in fin dei conti, l'utente non riceve alcun pagamento reale.

Una delle varianti di Program.FakeMoney.11 veniva distribuita con il pretesto del gioco Copper Boom, mentre la Program.FakeMoney.14 era rappresentata dal gioco Merge Party

Oltre a ciò, durante l'anno i nostri analisti dei virus rilevavano su Google Play nuovi programmi pubblicitari. Questi includevano applicazioni e giochi con il modulo pubblicitario incorporato Adware.StrawAd, che è in grado di visualizzare annunci da vari fornitori di servizi.

Esempi di giochi con il modulo pubblicitario Adware.StrawAd: Crazy Sandwich Runner (Adware.StrawAd.1), Poppy Punch Playtime (Adware.StrawAd.3), Finger Heart Matching (Adware.StrawAd.6), Toimon Battle Playground (Adware.StrawAd.9)

Su Google Play venivano distribuite anche le applicazioni pubblicitarie Adware.Basement, gli annunci da cui spesso portano a siti dannosi e fraudolenti. È interessante notare che questa famiglia ha una base di codice comune con i programmi indesiderati Program.FakeMoney.11.

Esempi di programmi pubblicitari indesiderati Adware.Basement: Lie Detector: Lie Prank Test, TapAlarm:Don't touch my phone e Magic Voice Changer — Adware.Basement.1, Auto Clicker:Tap Auto — Adware.Basement.2

Trojan bancari

Secondo i dati delle statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel 2024 la quota dei trojan bancari sul numero totale di malware registrati ha ammontato al 6,29%, il che è di 2,71 pp. in più rispetto all'anno prima. Da gennaio la loro attività diminuiva regolarmente, ma da metà di primavera il numero di attacchi è ricominciato a crescere. Durante il III trimestre, la loro attività rimaneva praticamente invariata, dopo di che è continuata ad aumentare raggiungendo un massimo annuale a novembre.

Nel 2024 di nuovo risultano largamente diffuse le note famiglie di trojan bancari. Tra di esse — i programmi malevoli Coper, Hydra (Android.BankBot.1048.origin, Android.BankBot.563.origin), Ermac (Android.BankBot.1015.origin, Android.BankBot.15017), Alien (Android.BankBot.745.origin, Android.BankBot.1078.origin), Anubis (Android.BankBot.670.origin). Inoltre, si osservavano attacchi con l'utilizzo delle famiglie Cerberus (Android.BankBot.11404), GodFather (Android.BankBot.GodFather.3, Android.BankBot.GodFather.14.origin) e Zanubis (Android.BankBot.Zanubis.7.origin).

Nel corso dell'anno i malintenzionati distribuivano attivamente i trojan spia Android.SpyMax, che possiedono un ampio set di funzionalità malevole, inclusa la possibilità di gestione in remoto dei dispositivi infetti. Vengono ampiamente adoperati anche come trojan bancari. Questa famiglia originalmente includeva un trojan RAT multifunzionale SpyNote (RAT — Remote Administration Trojan, trojan di accesso remoto). Tuttavia, dopo la fuga del suo codice sorgente, sulla sua base sono comparse le più svariate mods — ad esempio, CraxsRAT e G700 RAT. Le statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili mostrano che i campioni di questa famiglia sono diventati più attivi nella seconda metà del 2023, e da quel tempo il numero dei loro rilevamenti continuava a crescere praticamente ogni mese. Per ora questa tendenza persiste.

I trojan Android.SpyMax sono mirati agli utenti in tutto il mondo. L'anno passato, essi sono stati notati, tra l'altro, in numerosi attacchi agli utenti russi — il 46,23% dei rilevamenti della famiglia riguardava questo pubblico. Questi malware venivano attivamente distribuiti anche tra i proprietari di dispostivi Android brasiliani (il 35,46% dei rilevamenti) e turchi (il 5,80% dei rilevamenti).

È interessante notare che la distribuzione di questi programmi malevoli in Russia avviene principalmente non attraverso lo spam o le classiche varianti di phishing, ma durante una delle fasi della frode telefonica. All'inizio i truffatori che chiamano la potenziale vittima tradizionalmente cercano di convincerla che loro sono collaboratori di una banca o delle forze dell'ordine. Segnalano un presunto problema — un tentativo di furto di denaro dal conto bancario o di formalizzazione di un prestito non previsto, oppure, al contrario, comunicano "buone notizie" su presunti bonus statali spettanti. Quando i truffatori capiscono che l'utente ha creduto loro, lo incoraggiano a installare un "aggiornamento dell'antivirus", "un'app bancaria" o un altro programma — ad esempio, quello per "la sicurezza della transazione". In tale programma in realtà è nascosto il trojan Android.SpyMax.

Gli utenti da Russia nel 2024 anche riscontravano le famiglie di banker Falcon (Android.BankBot.988.origin, Android.Banker.5703) e Mamont (Android.Banker.637.origin, Android.Banker.712.origin). Oltre a ciò, sono stati notati attacchi dei trojan bancari Android.Banker.791.origin e Android.Banker.829.origin ai proprietari di dispostivi Android da Russia e Uzbekistan, nonché quelli del banker Android.Banker.802.origin agli utenti in Russia, Azerbaigian e Uzbekistan. L'obiettivo del trojan Android.Banker.757.origin sono stati gli utenti da Russia, Uzbekistan, Tagikistan e Kazakistan.

I nostri specialisti di nuovo registravano attacchi dei trojan MoqHao (Android.Banker.367.origin, Android.Banker.430.origin, Android.Banker.470.origin, Android.Banker.593.origin), mirati agli utenti da molti paesi, inclusi gli stati di Asia sudorientale e Asia Pacifico. Allo stesso pubblico erano rivolti anche attacchi di altri trojan. Ad esempio, gli utenti di dispositivi Android sudcoreani dovevano affrontare le famiglie Fakecalls (Android.BankBot.919.origin, Android.BankBot.14423, Android.Banker.5297), IOBot (Android.BankBot.IOBot.1.origin) e Wroba (Android.Banker.360.origin). Altre varianti di Wroba (Android.BankBot.907.origin, Android.BankBot.1128.origin) attaccavano gli utenti da Giappone.

Gli abitanti di Cina, tra l'altro, riscontravano il trojan Android.Banker.480.origin, e quelli vietnamiti — Android.BankBot.1111.origin. Allo stesso tempo, i malintenzionati impiegavano i trojan TgToxic (Android.BankBot.TgToxic.1) per attacchi ai clienti di istituzioni creditizie di Indonesia, Thailandia e Taiwan, e il trojan GoldDigger (Android.BankBot.GoldDigger.3) per attacchi agli utenti da Thailandia e Vietnam.

Di nuovo sono stati registrati attacchi agli utenti iraniani — loro dovevano affrontare i banker come Android.Banker.709.origin, Android.Banker.5292, Android.Banker.777.origin, Android.BankBot.1106.origin e una serie di altri. Mentre negli attacchi ai clienti turchi di banche, accanto ad altri trojan, sono stati notati anche i campioni della famiglia Tambir (Android.BankBot.1104.origin, Android.BankBot.1099.origin, Android.BankBot.1117.origin).

Tra i proprietari di dispositivi Android indiani sono diventati diffusi i banker Android.Banker.797.origin, Android.Banker.817.origin e Android.Banker.5435 — essi si mascheravano da software presumibilmente correlati alle istituzioni creditizie Airtel Payments Bank, PM KISAN e IndusInd Bank. Oltre a questo, è persistita l'attività dei trojan bancari Rewardsteal (Android.Banker.719.origin, Android.Banker.5147, Android.Banker.5443) il cui obiettivo principale sono i clienti indiani delle banche Axis bank, HDFC Bank, SBI, ICICI Bank, RBL bank e Citi bank.

Nei paesi di America Latina di nuovo è stata notata l'attività dei trojan PixPirate (Android.BankBot.1026.origin), che attaccano i clienti di banche brasiliane.

Agli utenti europei erano mirati, in particolare, i trojan Anatsa (Android.BankBot.Anatsa.1.origin) e Copybara (Android.BankBot.15140, Android.BankBot.1100.origin). Questi ultimi attaccano principalmente gli abitanti di Italia, Gran Bretagna e Spagna.

Durante il 2024, gli analisti dei virus Doctor Web registravano una crescita della popolarità di alcuni metodi di protezione dall'analisi e dal rilevamento dei malware Android — principalmente dei trojan bancari. In particolare, i malintenzionati effettuavano diverse manipolazioni con il formato ZIP — la base di file APK. Come risultato, molti strumenti di analisi statica che impiegano gli algoritmi standard di elaborazione di archivi ZIP non sono in grado di elaborare correttamente tali file "danneggiati". Contemporaneamente, i trojan vengono percepiti dal sistema operativo Android come normali programmi, vengono installati e funzionano correttamente.

Una delle tecniche più diffuse è stata la manipolazione con i campi compression method e compressed size nella struttura dell'intestazione del file locale all'interno dell'APK. Gli attori delle minacce intenzionalmente specificano valori errati dei campi compressed size e uncompressed size (dimensione compressa e dimensione non compressa), o scrivono un metodo di compressione non corretto o inesistente nel campo compression method. In un'altra variante, per l'archivio può essere indicato il metodo senza compressione, ma i campi delle intestazioni compressed size e uncompressed size non corrisponderanno, benché debbano corrispondere.

Un altro popolare metodo è utilizzare dati su disco non corretti nella voce ECDR (End of Central Directory Record, fine della voce della directory centrale) e CD (Central Directory, intestazione del file della directory centrale — qui si trovano i dati sui file e parametri dell'archivio). Entrambi questi parametri per un archivio completo devono corrispondere, ma i cybercriminali possono specificare per essi valori diversi, come se questo non sia un archivio completo, ma un multiarchivio.

Era diffusa anche la tecnica con cui nelle intestazioni dei file locali di alcuni file nell'archivio viene indicato un flag che significa che questi file sono crittografati. In realtà, essi non sono crittografati, ma a causa di questo, l'archivio non viene letto correttamente durante l'analisi.

Insieme alla manipolazione della struttura di file APK, gli autori dei virus adoperavano anche altri metodi — ad esempio, la modifica del file di configurazione di applicazioni Android AndroidManifest.xml. In particolare, aggiungevano byte spazzatura b'\x00' alla struttura degli attributi del file per cui questo ultimo non viene letto correttamente.

Prospettive e tendenze

L'anno appena trascorso ha mostrato che i criminali informatici continuano ad arricchirsi attivamente a scapito dei proprietari di dispositivi Android. I loro principali strumenti restano i trojan pubblicitari e bancari, le applicazioni malevole con funzionalità spia, nonché i software fraudolenti. In relazione a ciò, nel 2025 ci si può aspettare la comparsa di nuove minacce di questo tipo.

Nonostante le misure che vengono adottate per aumentare la sicurezza di Google Play, questo store rimane ancora una delle fonti di distribuzione di minacce Android. Pertanto, non si può escludere la comparsa in esso di nuove applicazioni malevole e indesiderate.

Un ennesimo caso di infezione di box TV con sistema operativo Android, rilevato l'anno scorso, suggerisce che gli autori di virus utilizzano un'ampia gamma di vettori di attacco. È molto probabile che i malintenzionati non solo rivolgeranno nuovamente la loro attenzione a tali dispositivi, ma continueranno anche a cercare altri potenziali obiettivi tra la diversità di gadget Android.

Non si può escludere che gli autori di virus continueranno a introdurre attivamente nuovi metodi per bypassare l'analisi e il rilevamento di programmi malevoli.

Gli specialisti dell'azienda Doctor Web continuano a seguire l'evoluzione delle minacce cyber "mobili" e a fornire la protezione dei nostri utenti. Per migliorare la propria sicurezza, installate l'antivirus Dr.Web per dispositivi mobili che aiuterà a contrastare i programmi malevoli, indesiderati e altri software pericolosi, i truffatori e altre minacce.

Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili in IV trimestre 2024

Thu, 26 Dec 2024 03:00:00 GMT

26 dicembre 2024

Secondo le statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel IV trimestre 2024 i programmi malevoli più diffusi sono stati i trojan pubblicitari Android.HiddenAds. Seguono le applicazioni malevole utilizzate per scopi fraudolenti Android.FakeApp. La top tre è chiusa dai trojan Android.Siggen aventi varie funzionalità malevole.

Durante il trimestre gli analisti dei virus dell'azienda Doctor Web hanno scoperto un gran numero di minacce sullo store di app Google Play. Tra di esse erano numerosi trojan Android.FakeApp, nonché i programmi malevoli delle famiglie Android.Subscription e Android.Joker, i quali iscrivevano gli utenti a servizi a pagamento. Sono stati registrati ulteriori trojan pubblicitari Android.HiddenAds. Inoltre, i malintenzionati distribuivano applicazioni malevole protette da un sofisticato packer.

PRINCIPALI TENDENZE DI IV TRIMESTRE

Alta attività dei trojan pubblicitari Android.HiddenAds e dei programmi fraudolenti Android.FakeApp
Distribuzione di numerose applicazioni malevole tramite lo store di app Google Play

Secondo i dati di Dr.Web Security Space per dispositivi mobili

Android.FakeApp.1600: Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.
Android.HiddenAds.655.origin
Android.HiddenAds.657.origin: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni della famiglia Android.HiddenAds spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Packed.57083: Rilevamento di applicazioni malevole protette dal software packer ApkProtector. Tra di esse possono essere i trojan bancari, gli spyware e altri software malevoli.
Android.Click.1751: Trojan che viene incorporato in mods dell'applicazione di messaggistica istantanea WhatsApp e si maschera da classi delle librerie di Google. Nel corso dell'utilizzo dell'applicazione vettore, Android.Click.1751 effettua richieste a uno dei server di comando e controllo. In risposta, il trojan riceve due link, uno dei quali è destinato agli utenti di lingua russa, e il secondo a tutti gli altri utenti. Quindi visualizza una finestra di dialogo con il contenuto ricevuto dal server, e dopo che l'utente fa clic sul pulsante di conferma, carica il link corrispondente nel browser.

Program.FakeMoney.11: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Di solito hanno una lista dei sistemi di pagamento e delle banche più popolari attraverso cui presumibilmente sarebbe possibile trasferire i premi. Ma anche quando gli utenti riescono ad accumulare una somma sufficiente per il prelievo, non ricevono i pagamenti promessi. Con questo record vengono rilevati anche altri software indesiderati basati sul codice di tali programmi.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.

Tool.NPMod.1: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale dopo la loro modifica.
Tool.SilentInstaller.14.origin: Piattaforma software potenzialmente pericolosa che consente alle applicazioni di avviare i file APK senza la loro installazione. Questa piattaforma crea un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui è incorporata. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.Packer.1.origin: Utility packer specializzata per la protezione di applicazioni Android dalla modifica e dal reverse engineering. Non è malevola, ma può essere utilizzata per la protezione di programmi sia innocui che trojan.
Tool.Androlua.1.origin: Rilevamento di una serie di versioni potenzialmente pericolose di un framework specializzato per lo sviluppo di programmi Android nel linguaggio di programmazione di scripting Lua. La logica principale di applicazioni Lua è situata in script corrispondenti che sono cifrati e vengono decifrati dall'interprete prima dell'esecuzione. Spesso questo framework di default chiede l'accesso a un gran numero di autorizzazioni di sistema per il funzionamento. Come risultato, gli script Lua eseguiti attraverso di esso sono in grado di effettuare varie azioni malevole in base alle autorizzazioni ricevute.

Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle cui funzionalità è incorporato un codice per caricare i link di destinazione tramite web view durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati — ad esempio, casinò online e scommesse, siti per adulti.
Adware.Basement.1
Adware.Fictus.1.origin: Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.
Adware.AdPush.3.origin
Adware.Adpush.21846: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.

Minacce su Google Play

Nel IV trimestre 2024 gli analisti dei virus dell'azienda Doctor Web hanno scoperto sullo store Google Play oltre 60 varie applicazioni malevole, la maggior parte delle quali è trojan della famiglia Android.FakeApp. Parte di essi veniva distribuita sotto le finte spoglie di programmi a tema finanziario, guide e tutorial, nonché altri software — diari, taccuini ecc. Il loro compito principale era quello di caricare siti truffa.

Programmi QuntFinanzas e Trading News che, tra gli altri numerosi trojan Android.FakeApp, caricavano siti truffa

Altri trojan Android.FakeApp i malintenzionati spacciavano per giochi. Essi potevano caricare siti di casinò online e scommesse.

Bowl Water e Playful Petal Pursuit — esempi di giochi con funzionalità trojan

Allo stesso tempo, i nostri specialisti hanno rilevato nuove varianti del trojan Android.FakeApp.1669, che si nascondeva sotto la maschera di svariate applicazioni e anche poteva caricare siti di casinò online. Android.FakeApp.1669 è interessante perché ottiene l'indirizzo del sito di destinazione dal file TXT del server DNS malevolo. E si manifesta solo in caso di connessione a internet tramite determinati provider.

Esempi di nuove varianti del trojan Android.FakeApp.1669. Il programma WordCount i truffatori spacciavano per un'utility di testo, mentre il programma Split it: Checks and Tips doveva aiutare i visitatori di caffè e ristoranti a pagare i conti e calcolare la mancia

Tra le minacce trovate su Google Play erano alcuni nuovi campioni della famiglia di trojan pubblicitari Android.HiddenAds, che nascondono la propria presenza sui dispositivi infetti.

L'app di fotoritocco Cool Fix Photo Enhancer nascondeva in sé il trojan pubblicitario Android.HiddenAds.4013

Inoltre, sono stati registrati trojan protetti da un sofisticato packer di software — ad esempio, Android.Packed.57156, Android.Packed.57157 e Android.Packed.57159.

Le applicazioni Lie Detector Fun Prank e Speaker Dust and Water Cleaner sono trojan protetti da packer

Anche i nostri specialisti hanno rilevato un programma malevolo, Android.Subscription.22, studiato per l'iscrizione di utenti a servizi a pagamento.

Invece della modifica di foto, l'app InstaPhoto Editor iscriveva gli utenti a un servizio a pagamento

Allo stesso tempo, i malintenzionati di nuovo distribuivano i trojan della famiglia Android.Joker i quali anche abbonavano le vittime a servizi a pagamento.

L'app di messaggistica SMS Smart Messages e la tastiera di terzi parti Cool Keyboard cercavano di abbonare impercettibilmente le vittime a un servizio a pagamento

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

App malevole su Google Play: in che modo malintenzionati utilizzano protocollo DNS per comunicazione nascosta di trojan con server C&C

Mon, 11 Nov 2024 18:09:31 GMT

11 novembre 2024

I trojan Android.FakeApp di solito hanno l'obiettivo di portare l'utente tramite link verso vari siti, e dal punto di vista tecnico, sono programmi malevoli piuttosto primitivi. All'avvio ricevono il comando di aprire un indirizzo web assegnato, e in conseguenza di ciò, gli utenti che li hanno installati, invece del programma o gioco che si aspettavano, vedono sugli schermi dei loro dispositivi il contenuto di un sito indesiderato. Tuttavia, a volte tra queste app falsificazione si trovano campioni degni di nota — come Android.FakeApp.1669. Si differenzia dalla maggior parte delle simili minacce in quanto utilizza una libreria modificata dnsjava, tramite la quale ottiene dal server DNS malevolo una configurazione contenente il link di destinazione. La configurazione però viene fornita ad esso solo se viene utilizzata una connessione a internet tramite determinati provider — ad esempio, di internet mobile. In altri casi invece, il trojan non si manifesta in alcun modo.

Android.FakeApp.1669 è rappresentato da un gran numero di varianti che sotto le finte spoglie di svariate applicazioni vengono distribuite, tra l'altro, anche attraverso lo store di app Google Play. Così, le app con il trojan attualmente conosciute sono state scaricate dallo store ufficiale del sistema operativo Android almeno 2.160.000 volte.

Esempi di programmi in cui era nascosto Android.FakeApp.1669

Di seguito sono elencate le app con Android.FakeApp.1669 che gli analisti dei virus Doctor Web hanno scoperto su Google Play. I nostri specialisti hanno rilevato anche più programmi trojan, ma parte di essi è già assente in questo negozio di applicazioni.

Nome dell'applicazione	Download effettuati
Split it: Checks and Tips	1 000 000+
FlashPage parser	500 000+
BeYummy - your cookbook	100 000+
Memogen	100 000+
Display Moving Message	100 000+
WordCount	100 000+
Goal Achievement Planner	100 000+
DualText Compare	100 000+
Travel Memo	100 000+ (rimossa)
DessertDreams Recipes	50 000+
Score Time	10 000+

All'avvio Android.FakeApp.1669 esegue una richiesta DNS al server di comando e controllo per ottenere un record TXT che è associato a un nome a dominio specifico. A sua volta, il server fornisce questo record al trojan solo se il dispositivo infetto è connesso alla Rete tramite i provider prestabiliti — tra cui provider di internet mobili. I simili record TXT di solito contengono informazioni sul dominio e alcune altre informazioni tecniche, però nel caso di Android.FakeApp.1669 nel record si trova una configurazione codificata per il programma malevolo.

Per l'invio delle richieste DNS Android.FakeApp.1669 utilizza codice modificato della libreria Open Source dnsjava.

Tutte le varianti del trojan sono legate a specifici nomi a dominio, il che consente al server DNS di trasmettere a ciascuna di esse la propria configurazione. Inoltre, i nomi dei sottodomini dei domini preimpostati sono univoci per ciascun dispositivo infetto. In essi sono codificati dati relativi al dispositivo, inclusi quelli sensibili:

modello e marca del dispositivo;
dimensioni dello schermo;
identificativo (è composto da due numeri: il primo è la data e l'ora di installazione dell'app trojan, il secondo è un numero casuale);
se la batteria è in carica e qual è l'attuale percentuale di carica;
se sono attivate le impostazioni sviluppatore.

Ad esempio, l'esemplare di Android.FakeApp.1669 nascosto nell'app Goal Achievement Planner durante lo svolgimento dell'analisi ha chiesto al server un record TXT per il dominio 3gEBkayjVYcMiztlrcJXHFSABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]simpalm[.]com., mentre l'esemplare dal programma Split it: Checks and Tips un record per il dominio 3gEBkayjVYcMiztlrcJXHFTABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]revolt[.]digital., e quello da DessertDreams Recipes un record per il dominio 3gEBkayjVYcMiztlrcJXHFWABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]outorigin[.]com..

Esempio di record TXT di dominio preimpostato che il server DNS ha fornito in risposta a una richiesta tramite l'utility Linux dig durante l'analisi di una delle varianti di Android.FakeApp.1669

Per la decifratura del contenuto di questi record TXT devono essere eseguiti i seguenti passaggi:

invertire la stringa;
decodificare Base64;
decomprimere gzip;
dividere in righe in base al carattere ÷.

Il risultato saranno i dati di seguente tipo (l'esempio sotto appartiene al record TXT per l'app Goal Achievement Planner):

url
hxxps[:]//goalachievplan[.]pro
af_id
DF3DgrCPUNxkkx7eiStQ6E
os_id
f109ec36-c6a8-481c-a8ff-3ac6b6131954

In essi è contenuto un link che il trojan carica in una WebView all'interno della propria finestra sopra l'interfaccia principale. Questo link conduce a un sito che avvia una lunga catena di reindirizzamenti, al termine della quale si trova un sito di casinò online. Come risultato, Android.FakeApp.1669 si trasforma effettivamente in un'applicazione web la quale visualizza il contenuto del sito web caricato anziché le funzionalità dichiarate sulla pagina dell'applicazione su Google Play.

Il malware, invece delle funzionalità che ci si aspettavano, ha visualizzato i contenuti del sito di casinò online caricato

Allo stesso tempo, quando il trojan ha accesso a una connessione internet diversa da quelle dei provider prestabiliti (nonché si trova in modalità offline), esso funziona come il programma promesso — a condizione che gli autori della variante data abbiano previsto delle funzionalità per tale caso.

Il trojan non ha ricevuto la configurazione dal server C&C e si è avviato come programma normale

Dr.Web Security Space per dispositivi mobili rileva e rimuove con successo tutte le varianti conosciute di Android.FakeApp.1669, pertanto, per i nostri utenti questo trojan non rappresenta un pericolo.

Indicatori di compromissione

Più informazioni su Android.FakeApp.1669

Doctor Web: panoramica sull'attività di virus per dispositivi mobili in III trimestre 2024

Tue, 01 Oct 2024 00:00:00 GMT

1 ottobre 2024

Secondo le statistiche di rilevamento di Dr.Web Security Space per dispositivi mobili, nel III trimestre 2024 sui dispositivi protetti venivano rilevate il più frequentemente le applicazioni malevole Android.FakeApp, utilizzate dai malintenzionati in vari schemi fraudolenti. Alla seconda posizione si sono collocati i trojan pubblicitari Android.HiddenAds. I terzi rilevamenti più frequenti sono stati i campioni della famiglia Android.Siggen — sono programmi che possiedono funzionalità malevole varie e sono difficilmente classificabili in una famiglia specifica.

Ad agosto gli specialisti Doctor Web hanno scoperto un backdoor, Android.Vo1d, il quale ha infettato quasi 1.300.000 box TV con SO Android appartenenti a utenti da 197 paesi del mondo. Questo programma malevolo colloca i propri componenti nell'area di sistema dei dispositivi e su comando dei malintenzionati è in grado di scaricare e installare impercettibilmente varie applicazioni.

Allo stesso tempo, i nostri analisti dei virus di nuovo hanno identificato minacce sullo store di app Google Play. Tra queste erano molteplici nuovi programmi falsificazione, nonché diversi trojan pubblicitari.

PRINCIPALI TENDENZE DI III TRIMESTRE

Il backdoor Android.Vo1d ha infettato oltre un milione di box TV
Alta attività dei programmi malevoli Android.FakeApp, utilizzati per scopi fraudolenti
Alta attività dei trojan pubblicitari Android.HiddenAds
Comparsa di nuovi programmi malevoli sullo store di app Google Play

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.FakeApp.1600: Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.
Android.HiddenAds.3994: Programma trojan per la visualizzazione di pubblicità invadenti. I campioni della famiglia Android.HiddenAds spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.MobiDash.7815
Android.MobiDash.7813: Programmi trojan che visualizzano annunci invadenti. Sono moduli software che gli sviluppatori software incorporano nelle applicazioni.
Android.Click.1751: Trojan che viene incorporato in mods dell'applicazione di messaggistica istantanea WhatsApp e si maschera da classi delle librerie di Google. Nel corso dell'utilizzo dell'applicazione vettore, Android.Click.1751 effettua richieste a uno dei server di comando e controllo. In risposta, il trojan riceve due link, uno dei quali è destinato agli utenti di lingua russa, e il secondo a tutti gli altri utenti. Quindi visualizza una finestra di dialogo con il contenuto ricevuto dal server, e dopo che l'utente fa clic sul pulsante di conferma, carica il link corrispondente nel browser.

Program.FakeMoney.11: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Di solito hanno una lista dei sistemi di pagamento e delle banche più popolari attraverso cui presumibilmente sarebbe possibile trasferire i premi. Ma anche quando gli utenti riescono ad accumulare abbastanza per il prelievo, non ricevono i pagamenti promessi. Con questo record anche vengono rilevati altri software indesiderati basati sul codice di tali programmi.
Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.

Tool.Packer.1.origin: Utility packer specializzata per la protezione di applicazioni Android dalla modifica e dal reverse engineering. Non è malevola, ma può essere utilizzata per la protezione di programmi sia innocui che trojan.
Tool.SilentInstaller.17.origin: Piattaforma software potenzialmente pericolosa che consente alle applicazioni di avviare i file APK senza la loro installazione. Questa piattaforma crea un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui è incorporata. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.NPMod.1
Tool.NPMod.2: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale dopo la loro modifica.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.

Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle cui funzionalità è incorporato un codice per caricare i link di destinazione tramite web view durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati, ad esempio, casinò online e scommesse, siti per adulti.
Adware.Basement.1: Applicazioni che visualizzano annunci pubblicitari indesiderati che spesso portano a siti malevoli e truffaldini. Hanno una base di codice comune con i programmi indesiderati Program.FakeMoney.11.
Adware.Fictus.1.origin: Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.
Adware.Adpush.21846
Adware.AdPush.39.origin: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.

Minacce su Google Play

Nel III trimestre 2024 gli analisti dei virus Doctor Web hanno continuato a trovare minacce sullo store di app Google Play. Tra queste erano numerosi nuovi programmi malevoli falsificazione Android.FakeApp i quali venivano distribuiti sotto le apparenze dei più svariati software. Parte di essi i malintenzionati di nuovo spacciavano per programmi a tema finanziario — applicazioni per investimento, tutorial finanziari, variazioni delle contabilità domestiche ecc. Alcuni di questi fornivano effettivamente le funzionalità dichiarate, tuttavia, il loro obiettivo principale è quello di caricare siti truffa. Su tali siti alle potenziali vittime vengono promessi guadagni facili e veloci tramite l'investimento in azioni, il trading di materie prime, di criptovalute ecc. Con il pretesto dell'accesso al "servizio", agli utenti viene chiesto di registrare un account o fare una richiesta per la partecipazione indicando i propri dati personali.

È interessante notare che i malintenzionati spacciavano uno dei trojan Android.FakeApp per un programma per incontri online e chat, però anche esso caricava un sito fraudolento con "investimenti".

Altri trojan Android.FakeApp un'ennesima volta venivano distribuiti sotto le apparenze di giochi. A determinate condizioni, caricavano siti di casinò online e scommesse.

Tra i programmi falsificazione i nostri specialisti hanno trovato anche nuove varianti dei trojan che si camuffano da strumenti per la ricerca di lavoro. Tali programmi malevoli caricano false liste di offerte lavoro e suggeriscono alle potenziali vittime di contattare tramite app di messaggistica un datore di lavoro (in realtà, sotto questo "datore di lavoro" si nasconde il truffatore) o stendere un "curriculum" fornendo i dati personali.

Gli analisti dei virus Doctor Web hanno inoltre rilevato su Google Play ennesimi trojan della famiglia Android.HiddenAds, che nascondono le proprie icone dal menu della schermata principale e cominciano a mostrare fastidiosi annunci pubblicitari. Si mascheravano da applicazioni di vario tipo — raccolte di immagini, app di fotoritocco, scanner di codici a barre.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili in II trimestre 2024

Mon, 01 Jul 2024 03:00:00 GMT

1 luglio 2024

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, nel II trimestre 2024, sui dispositivi protetti il più spesso venivano rilevati i programmi trojan pubblicitari Android.HiddenAds. Le seconde più diffuse sono state le applicazioni malevole Android.FakeApp, che i malintenzionati utilizzano nella realizzazione di vari schemi di truffa. La maggior parte dei rilevamenti di questa famiglia è dovuta al trojan Android.FakeApp.1600, che i nostri specialisti hanno scoperto alla fine di maggio. Viene distribuito attraverso siti malevoli da cui viene scaricato sotto le apparenze di un'applicazione di gioco. Tuttavia, in realtà, quando viene lanciata, la falsa app carica un sito web trascritto nelle sue impostazioni — nelle varianti conosciute, questo è un sito di casinò online. I suoi visitatori sono invitati a giocare a un gioco di tipo "ruota della fortuna", ma quando provano a farlo, vengono reindirizzati a una pagina con un modulo di registrazione. L'elevato numero di rilevamenti di questo programma malevolo si può spiegare con il fatto che, per promuoverlo, i malintenzionati utilizzano tra l'altro anche annunci pubblicitari in altre applicazioni. Cliccando su tale annuncio, gli utenti arrivano sul relativo sito malevolo da cui avviene il download del trojan. I terzi più diffusi sono stati i trojan aventi funzionalità spia Android.Spy.

Durante il II trimestre, il laboratorio dei virus dell'azienda Doctor Web ha individuato ulteriori minacce sullo store di app Google Play. Tra queste, i svariati programmi malevoli falsificazione Android.FakeApp, nonché un programma indesiderato, Program.FakeMoney.11, che presumibilmente consentirebbe di convertire i premi virtuali in denaro reale e ritirarlo dall'applicazione. Oltre a ciò, per un'ennesima volta i malintenzionati distribuivano attraverso Google Play un trojan che iscrive le proprie vittime a servizi a pagamento.

PRINCIPALI TENDENZE DI II TRIMESTRE

Programmi trojan pubblicitari Android.HiddenAds rimangono le minacce Android più attive
Comparsa di nuove minacce informatiche sullo store di app Google Play

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.FakeApp.1600: Programma trojan che carica il sito web specificato nelle sue impostazioni. Le varianti conosciute di questa applicazione malevola caricano un sito di casinò online.
Android.HiddenAds.3956
Android.HiddenAds.3980
Android.HiddenAds.3989: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Spy.5106: Rilevamento di un programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.

Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.FakeMoney.11: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.

Tool.SilentInstaller.17.origin
Tool.SilentInstaller.14.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Queste piattaforme creano un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui sono incorporate. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.Packer.1.origin: Utility packer specializzata per la protezione di applicazioni Android dalla modifica e dal reverse engineering. Non è malevola, ma può essere utilizzata per la protezione di programmi sia innocui che trojan.
Tool.NPMod.1
Tool.NPMod.2: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale successivamente alla loro modifica.

Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle cui funzionalità è incorporato un codice per caricare i link di destinazione tramite WebView durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati, ad esempio, casinò online e scommesse, siti per adulti.
Adware.AdPush.39.origin
Adware.Adpush.21846: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.

Minacce su Google Play

Nel secondo trimestre 2024, il laboratorio dei virus dell'azienda Doctor Web di nuovo ha individuato sullo store di app Google Play applicazioni trojan dalla famiglia Android.FakeApp. Alcune di esse venivano distribuite sotto le mentite spoglie di programmi a tema finanziario, nonché applicazioni per la partecipazione a sondaggi e quiz:

Potevano caricare siti truffa su cui le potenziali vittime, presumibilmente a nome di note istituzioni creditizie e compagnie petrolifere e del gas, venivano invitate a partecipare a un training finanziario o diventare investitori. Per accedere a un determinato "servizio web", gli utenti dovevano rispondere ad alcune domande e quindi fornire i dati personali.

Altri trojan Android.FakeApp erano nascosti nei più svariati giochi. A determinate condizioni, invece delle funzionalità dichiarate, essi caricavano siti di scommesse e casinò online.

Un altro programma trojan della famiglia Android.FakeApp — Android.FakeApp.1607 — era nascosto in un programma raccolta di immagini. Forniva effettivamente le funzionalità dichiarate, ma poteva invece di questo anche caricare siti di casinò online.

I malintenzionati spacciavano alcuni campioni della famiglia Android.FakeApp (Android.FakeApp.1605 e Android.FakeApp.1606) per programmi per la ricerca di lavoro. Questi trojan caricano false liste di offerte di lavoro dove agli utenti viene suggerito di contattare il "datore di lavoro" tramite le app di messaggistica online (ad esempio Telegram) oppure inviare un "CV" fornendo i dati personali. Dopo aver attirato l'attenzione delle potenziali vittime, i truffatori, cercando di rubare denaro, possono adescare gli utenti verso vari schemi di guadagno dubbi.

I nostri specialisti, inoltre, hanno individuato su Google Play un altro programma indesiderato, appartenente alla famiglia Program.FakeMoney. Le simili applicazioni suggeriscono agli utenti di completare varie attività e ottenere premi virtuali che presumibilmente in futuro potrebbero essere ritirati sotto forma di denaro reale. In realtà, fuorviavano i proprietari di dispostivi Android perché pagamenti non vengono effettuati. L'obiettivo dei simili programmi è quello di incoraggiare gli utenti a rimanere al loro interno il più a lungo possibile per mostrare loro annunci pubblicitari i quali portano profitti agli sviluppatori.

Il programma individuato (Program.FakeMoney.11) rappresenta una variante di "macchina mangiasoldi" tutte vincite, per il gioco alla quale, così come per la visualizzazione della pubblicità all'interno dell'applicazione, agli utenti vengono attribuiti premi virtuali. Quando si tenta di ritirare il denaro "guadagnato", il programma ritarda il più a lungo possibile tale possibilità stabilendo sempre nuove condizioni. Se alla fine l'utente "riuscirà" a fare una richiesta di ritiro, si troverà in una certa coda di considerazione, composta da diverse migliaia di altri "richiedenti".

Oltre a ciò, sullo store di app Google Play veniva distribuito un ulteriore programma trojan della famiglia Android.Harly, denomitato Android.Harly.87. Le app malevole di questa famiglia abbonano le vittime a servizi a pagamento.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili a febbraio 2024

Mon, 01 Apr 2024 04:00:00 GMT

1 aprile 2024

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, a febbraio 2024 è significativamente aumentata l'attività dei programmi trojan pubblicitari della famiglia Android.HiddenAds — del 73,26% rispetto a gennaio. Allo stesso tempo, gli utenti riscontravano il 58,85% meno spesso un'altra famiglia di trojan pubblicitari, Android.MobiDash.

L'attività dei trojan bancari di varie famiglie è diminuita del 18,77%, e quella delle applicazioni trojan spia Android.Spy del 27,33%. Mentre il numero di rilevamenti dei programmi malevoli ransomware Android.Locker è aumentato del 29,85%.

PRINCIPALI TENDENZE DI FEBBRAIO

Notevole crescita dell'attività dei programmi trojan pubblicitari della famiglia Android.HiddenAds
Diminuito il numero di attacchi dei trojan bancari e delle applicazioni malevole spia
Aumentato il numero di rilevamenti su dispositivi protetti dei programmi malevoli ransomware

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.HiddenAds.3956
Android.HiddenAds.3851: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Spy.5106: Rilevamento di un programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.HiddenAds.Aegis.1
Android.HiddenAds.Aegis.4.origin: Programmi trojan che celano la propria presenza su dispositivi Android e visualizzano annunci invadenti. Differiscono dagli altri campioni della famiglia Android.HiddenAds in una serie di caratteristiche. Ad esempio, questi trojan sono in grado di avviarsi in autonomo dopo l'installazione. Inoltre, in essi è realizzato un meccanismo che consente ai loro servizi di rimanere costantemente in esecuzione. In una serie di casi, in essi possono essere anche impiegate le funzionalità nascoste del sistema operativo Android.

Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.wSpy.3.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.

Tool.NPMod.1: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale successivamente alla loro modifica.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Queste piattaforme creano un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui sono incorporate. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.

Adware.ModAd.1: Rilevamento di alcune versioni modificate (mods) dell'app di messaggistica WhatsApp, nelle cui funzionalità è incorporato un codice per caricare i link di destinazione tramite WebView durante l'utilizzo dell'app. Da questi indirizzi internet viene eseguito il reindirizzamento verso i siti pubblicizzati, ad esempio, casinò online e scommesse, siti per adulti.
Adware.Adpush.21846
Adware.AdPush.39.origin: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.
Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Doctor Web: panoramica sull'attività di virus per dispositivi mobili a gennaio 2024

Fri, 29 Mar 2024 03:00:00 GMT

29 marzo 2024

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, a gennaio 2024 gli utenti dovevano riscontrare il più frequentemente le applicazioni trojan pubblicitarie Android.HiddenAds. Rispetto a dicembre 2023, venivano rilevate sui dispositivi protetti il 54,45% più spesso. Nel frattempo, l'attività di un'altra popolare famiglia di programmi trojan pubblicitari Android.MobiDash è rimasta praticamente invariata aumentando del solo 0,9%.

Il numero di attacchi dei trojan bancari di varie famiglie è cresciuto del 17,04%, quello dei programmi trojan spia Android.Spy dell'11,16%, mentre quello dei programmi malevoli ransomware Android.Locker dell'insignificante 0,92%.

Allo stesso tempo, i nostri specialisti hanno individuato ulteriori minacce sullo store di app Google Play. Tra di esse, una nuova famiglia di moduli pubblicitari indesiderati — Adware.StrawAd, nonché alcuni programmi trojan della famiglia Android.FakeApp. Questi ultimi vengono utilizzati dai malintenzionati per realizzare i più svariati schemi di truffa.

PRINCIPALI TENDENZE DI GENNAIO

I programmi trojan pubblicitari Android.HiddenAds continuano a essere leader per numero di rilevamenti sui dispositivi protetti
È aumentata l'attività di molte famiglie di applicazioni malevole Android
Altre minacce ancora sono state rilevate sullo store di app Google Play

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.HiddenAds.3851
Android.HiddenAds.3831: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Spy.5106
Android.Spy.4498: Rilevamento di un programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.MobiDash.7805: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.

Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare l'installazione e la rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.wSpy.3.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.
Program.FakeMoney.7: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.

Tool.NPMod.1: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale successivamente alla loro modifica.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Queste piattaforme creano un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui sono incorporate. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.

Adware.StrawAd.1: Rilevamento di applicazioni Android in cui è incorporato il modulo pubblicitario indesiderato Adware.StrawAd.1.origin. Allo sblocco dello schermo dei dispostivi Android, questo modulo visualizza annunci da vari fornitori di servizi pubblicitari.
Adware.AdPush.39.origin
Adware.Adpush.21846: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.
Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.

Minacce su Google Play

All'inizio di gennaio 2024, il laboratorio dei virus dell'azienda Doctor Web ha rilevato sullo store di app Google Play una serie di giochi in cui era incorporata una piattaforma pubblicitaria indesiderata Adware.StrawAd.1.origin:

Crazy Sandwich Runner
Purple Shaker Master
Poppy Punch Playtime, Meme Cat Killer
Toiletmon Camera Playtime
Finger Heart Matching
Toilet Monster Defense
Toilet Camera Battle
Toimon Battle Playground

Questa piattaforma rappresenta un modulo software specializzato che è conservato in forma cifrata nella directory delle risorse dei programmi portatore. Al momento dello sblocco dello schermo, può visualizzare annunci da vari fornitori di servizi pubblicitari. Antivirus Dr.Web rileva le applicazioni con Adware.StrawAd.1.origin come campioni appartenenti alla famiglia Adware.StrawAd.

Inoltre, durante il mese di gennaio, i nostri specialisti hanno individuato una serie di programmi malevoli falsificazione dalla famiglia Android.FakeApp. Così, il trojan Android.FakeApp.1579 si nascondeva in un'app, Pleasant Collection, mascherata da un programma per la lettura di fumetti.

Il suo unico obiettivo, però, era quello di caricare varie risorse internet truffa. Tra di esse potevano essere siti che presumibilmente consentirebbero di ottenere l'accesso a determinati giochi, anche ricadenti nella categoria "per adulti". Di seguito è mostrato un esempio di uno di tali siti.

In questo caso, la potenziale vittima, prima "dell'inizio" del gioco, veniva invitata a rispondere ad alcune domande, dopodiché indicare i propri dati personali, e quindi anche i dati della propria carta bancaria — il che presumibilmente sarebbe necessario per controllare l'età.

Tra i campioni rilevati della famiglia Android.FakeApp erano di nuovo programmi distribuiti sotto le apparenze di giochi. Sono stati aggiunti al database dei virus dell'antivirus Dr.Web come Android.FakeApp.1573, Android.FakeApp.1574, Android.FakeApp.1575, Android.FakeApp.1577 e Android.FakeApp.32.origin.

A determinate condizioni, queste false app potevano caricare siti di casinò online e di scommesse. Esempio del loro funzionamento come giochi:

Esempio di uno dei siti da essi caricati:

Caricare siti di casinò online e scommesse era l'obiettivo anche di alcuni altri trojan. Così, Android.FakeApp.1576 si nascondeva in un programma di tutorial sul trucco, Contour Casino Glam, e in uno strumento per creare meme, Fortune Meme Studio. Mentre Android.FakeApp.1578 si trovava in un'app torcia chiamata Lucky Flash Casino Light.

Dopo l'installazione, funzionavano come applicazioni innocue, ma dopo qualche tempo, potevano iniziare a caricare i siti di destinazione.

Inoltre, i malintenzionati distribuivano diverse varianti dei trojan Android.FakeApp.1564 e Android.FakeApp.1580 sotto le apparenze di applicazioni finanziarie, guide, programmi per la partecipazione a sondaggi e altri software.

Questi falsi programmi caricavano siti truffa a tema finanziario su cui alle potenziali vittime, presumibilmente a nome di note aziende, venivano offerti diversi servizi. Ad esempio, gli utenti "potevano" diventare investitori o migliorare la propria alfabetizzazione finanziaria. Per "accedere" a un determinato servizio, loro dovevano completare un sondaggio e registrare un account indicando i dati personali.

Esempi di siti caricati:

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Il tuo Android ha bisogno di protezione.

Utilizza Dr.Web

Il primo antivirus russo per Android
Oltre 140 milioni di download solo da Google Play
Gratis per gli utenti dei prodotti Dr.Web per privati

Scarica gratis

Doctor Web: panoramica sull'attività di virus per dispositivi mobili a dicembre 2023

Tue, 30 Jan 2024 01:00:00 GMT

30 gennaio 2023

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, a dicembre 2023 le applicazioni malevole più attive di nuovo sono stati i programmi trojan pubblicitari Android.HiddenAds. Tuttavia, gli utenti dovevano affrontarli il 53,89% meno spesso rispetto al mese prima. Inoltre, è diminuito il numero di attacchi dei programmi trojan bancari e delle applicazioni spia — dello 0,88% e del 10,83% rispettivamente.

Durante l'ultimo mese dell'anno passato, gli analisti dei virus dell'azienda Doctor Web hanno identificato sullo store di app Google Play ennesimi programmi falsificazione dalla famiglia Android.FakeApp, che vengono impiegati in vari schemi di frode. Inoltre, i nostri specialisti hanno rilevato ulteriori siti attraverso cui i malintenzionati distribuivano le false applicazioni di portafogli cripto.

PRINCIPALI TENDENZE DI DICEMBRE

Sui dispositivi protetti il più spesso venivano rilevati i programmi trojan pubblicitari dalla famiglia Android.HiddenAds
È diminuita l'attività dei trojan bancari e delle applicazioni malevole spia
Sullo store di app Google Play sono stati rilevati nuovi programmi malevoli
Si continuava a identificare i siti che distribuiscono le false applicazioni di portafogli cripto per i dispositivi sia con SO Android che iOS

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.Spy.5106: Rilevamento di un programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.HiddenAds.3831
Android.HiddenAds.3851: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.MobiDash.7805: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.
Android.Click.1751: Trojan che viene incorporato in mods dell'applicazione di messaggistica istantanea WhatsApp e si maschera da classi delle librerie di Google. Nel corso dell'utilizzo dell'applicazione vettore, Android.Click.1751 effettua richieste a uno dei server di comando e controllo. In risposta, il trojan riceve due link, uno dei quali è destinato agli utenti di lingua russa, e il secondo a tutti gli altri utenti. Quindi visualizza una finestra di dialogo con il contenuto ricevuto dal server, e dopo che l'utente fa clic sul pulsante di conferma, carica il link corrispondente nel browser.

Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare il fatto di installazione e rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.wSpy.3.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.
Program.FakeMoney.7: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.

Tool.NPMod.1: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale successivamente alla loro modifica.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Queste piattaforme creano un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui sono incorporate. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.ApkProtector.16.origin: Rilevamento di applicazioni Android protette dal software packer ApkProtector. Questo packer non è malevolo, tuttavia, i malintenzionati possono utilizzarlo nella creazione di programmi trojan e indesiderati per renderne più difficile il rilevamento da parte degli antivirus.

Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.
Adware.Adpush.21846
Adware.AdPush.39.origin: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.
Adware.Fictus.1.origin: Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.

Minacce su Google Play

A dicembre 2023 gli specialisti dell'azienda Doctor Web hanno individuato sullo store di app Google Play nuovi programmi trojan dalla famiglia Android.FakeApp. Ad esempio, Android.FakeApp.1564 veniva distribuito dai malintenzionati sotto le apparenze di un'applicazione che consente di tenere un registro dei debiti. Il trojan Android.FakeApp.1563 si nascondeva in un programma per la partecipazione a sondaggi. Mentre Android.FakeApp.1569 i malintenzionati spacciavano per uno strumento che aiuta ad aumentare la produttività e creare buone abitudini.

Tutti questi programmi falsificazione caricavano i siti fraudolenti a tema finanziario che copiavano il design dei veri siti web di banche, agenzie di stampa e altre note organizzazioni. Inoltre, nel design venivano utilizzati i nomi e loghi corrispondenti. Su tali risorse internet, gli utenti venivano invitati a diventare investitori, seguire un corso di alfabetizzazione finanziaria, ottenere un sostegno finanziario ecc. Per questi scopi, loro veniva chiesto di indicare i propri dati personali — che presumibilmente sarebbero necessari per registrare un account e ottenere l'accesso ai servizi web corrispondenti.

Esempi di falsi siti caricati dai trojan:

Le applicazioni malevole Android.FakeApp.1566, Android.FakeApp.1567 e Android.FakeApp.1568 venivano distribuite con il pretesto di giochi:

Potevano, invece di avviare i giochi, caricare i siti di scommesse e casinò online, come è mostrato nell'esempio sottostante.

Funzionamento di uno di questi programmi trojan in modalità gioco:

Uno dei siti da esso caricati:

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Il tuo Android ha bisogno di protezione.

Utilizza Dr.Web

Il primo antivirus russo per Android
Oltre 140 milioni di download solo da Google Play
Gratis per gli utenti dei prodotti Dr.Web per privati

Scarica gratis

Doctor Web: panoramica sull'attività di virus per dispositivi mobili a novembre 2023

Thu, 21 Dec 2023 01:00:00 GMT

21 dicembre 2023

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, a novembre 2023 gli utenti meno spesso riscontravano le applicazioni trojan pubblicitarie delle famiglie Android.HiddenAds e Android.MobiDash. L'attività di quelle prime è diminuita di un quarto (25,03%), di quelle seconde di oltre un terzo (35,87%). Oltre a ciò, meno spesso venivano rilevati sui dispositivi protetti i trojan bancari e i programmi malevoli spia — del 3,53% e del 17,10% rispettivamente.

Allo stesso tempo, i malintenzionati di nuovo distribuivano programmi malevoli attraverso lo store di app Google Play. I nostri specialisti hanno identificato su di esso oltre due decine di programmi trojan della famiglia Android.FakeApp, utilizzati per scopi fraudolenti, nonché un ennesimo trojan che abbona proprietari di dispostivi Android a servizi a pagamento.

PRINCIPALI TENDENZE DI NOVEMBRE

Diminuita l'attività dei programmi trojan pubblicitari
Diminuita l'attività dei trojan bancari e delle applicazioni malevole spia
Diffusione di nuovi programmi malevoli attraverso lo store di app Google Play

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.HiddenAds.3831
Android.HiddenAds.3697: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.MobiDash.7805: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.
Android.Spy.5106: Rilevamento di un programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.Spy.5864: Tramite questo record di virus, l'antivirus Dr.Web rileva un programma trojan che è nascosto in una serie di mods di terzi dell'applicazione di messaggistica WhatsApp. I malintenzionati utilizzano questo programma malevolo per spiare gli utenti. Ad esempio, possono cercare file sui dispositivi delle vittime e caricarli su un server remoto, raccogliere dati dalla rubrica, ottenere informazioni circa il dispositivo infetto, registrare l'audio dell'ambiente a scopo di intercettazione ecc.

Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare il fatto di installazione e rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.wSpy.3.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.
Program.FakeMoney.7: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.TrackView.1.origin: Rilevamento di un'applicazione che consente di monitorare gli utenti attraverso i dispositivi Android. Utilizzando questo programma, i malintenzionati possono rilevare la posizione dei dispositivi di destinazione, utilizzare la fotocamera per registrare video e scattare foto, effettuare l'ascolto tramite il microfono, creare registrazioni audio ecc.

Tool.NPMod.1: Rilevamento di applicazioni Android modificate tramite l'utility NP Manager. In tali programmi è incorporato un modulo speciale che consente di aggirare il controllo della firma digitale successivamente alla loro modifica.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Queste piattaforme creano un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui sono incorporate. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.

Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.
Adware.AdPush.36.origin
Adware.AdPush.39.origin
Adware.Adpush.21846: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.

Minacce su Google Play

A novembre il laboratorio dei virus dell'azienda Doctor Web ha individuato sullo store di app Google Play ulteriori programmi malevoli dalla famiglia Android.FakeApp. Alcuni di essi venivano distribuiti sotto false apparenze di programmi a tema finanziario — app di tutorial e guida, app per la contabilità domestica, strumenti per l'accesso a servizi di investimento ecc. Tra di essi sono Android.FakeApp.1497, Android.FakeApp.1498, Android.FakeApp.1499, Android.FakeApp.1526, Android.FakeApp.1527 e Android.FakeApp.1536. Il loro compito principale è quello di caricare siti fraudolenti su cui gli utenti vengono invitati a diventare investitori. Per fare ciò, devono fornire i propri dati personali.

Un altro programma falsificazione, Android.FakeApp.1496, era nascosto in un'app di guida con accesso a informazioni giuridiche. Poteva caricare un sito attraverso cui le vittime dei truffatori in campo investimenti potrebbero presumibilmente ottenere assistenza legale e recuperare denaro perso.

Il sito che veniva caricato da questo programma trojan è presentato di seguito. Il visitatore deve rispondere ad alcune domande, dopodiché compilare un modulo che sarebbe necessario per ottenere una "consulenza di un avvocato" gratuita.

Altri programmi falsificazione di nuovo venivano spacciati dai malintenzionati per giochi. Ad esempio, Android.FakeApp.1494, Android.FakeApp.1503, Android.FakeApp.1504, Android.FakeApp.1533 e Android.FakeApp.1534. In una serie di casi, essi veramente funzionano come giochi, tuttavia, la loro funzionalità principale è quella di caricare siti di casinò online e di scommesse.

Esempi di funzionamento di questi trojan come giochi:

Esempio di un sito di scommesse caricato da uno di essi:

Oltre a ciò, i nostri specialisti hanno individuato un ennesimo programma malevolo progettato per abbonare utenti a servizi a pagamento. I malintenzionati lo distribuivano con il pretesto di Air Swipes, un'applicazione per la gestione di dispositivi Android tramite gesti.

All'avvio questo trojan carica il sito di un servizio partner, attraverso cui viene effettuato l'abbonamento:

Se la vittima avvia il programma con l'accesso a internet disattivato, o se il sito di destinazione non è disponibile, il programma finge di essere l'applicazione promessa, ma non fornisce alcuna funzionalità utile visualizzando un messaggio di errore. L'antivirus Dr.Web rileva questa applicazione trojan come Android.Subscription.21.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Il tuo Android ha bisogno di protezione.

Utilizza Dr.Web

Il primo antivirus russo per Android
Oltre 140 milioni di download solo da Google Play
Gratis per gli utenti dei prodotti Dr.Web per privati

Scarica gratis

Doctor Web: panoramica sull'attività di virus per dispositivi mobili a ottobre 2023

Wed, 22 Nov 2023 00:00:00 GMT

22 novembre 2023

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, a ottobre 2023 il più spesso venivano rilevati sui dispositivi protetti i trojan pubblicitari appartenenti alla famiglia Android.HiddenAds. Rispetto al mese precedente, la loro attività è aumentata del 46,16%. Il numero di attacchi dei secondi trojan pubblicitari più diffusi, quelli della famiglia Android.MobiDash, anche è aumentato del 7,07%. Inoltre, gli utenti si imbattevano più spesso nelle applicazioni malevole spia e nei trojan bancari — del 18,27% e del 10,73% rispettivamente.

Durante il mese di ottobre gli specialisti dell'azienda Doctor Web hanno rilevato ulteriori minacce sullo store Google Play. Tra di esse erano decine di vari programmi falsificazione della famiglia Android.FakeApp, che vengono utilizzati dai malintenzionati per scopi fraudolenti, nonché le applicazioni trojan Android.Proxy.4gproxy, che trasformano i dispositivi Android in server proxy.

PRINCIPALI TENDENZE DI OTTOBRE

Crescita dell'attività dei programmi trojan pubblicitari
Crescita dell'attività dei programmi trojan spia e bancari
Comparsa di numerose nuove applicazioni malevole sullo store Google Play

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.HiddenAds.3831
Android.HiddenAds.3697: Programmi trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Spy.4498
Android.Spy.5106: Rilevamento di diverse varianti di un programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.MobiDash.7804: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.

Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e l'omonima utility Android (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione dei programmi, al modificatore compare la possibilità di gestirli in remoto: bloccarli, visualizzare dialoghi configurabili, tracciare il fatto di installazione e rimozione di altri software ecc.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.FakeMoney.7: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.wSpy.3.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.

Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Queste piattaforme creano un ambiente di esecuzione virtuale nel contesto delle applicazioni in cui sono incorporate. I file APK avviati tramite di esse possono funzionare come se facessero parte di tali programmi e ricevere automaticamente le stesse autorizzazioni.
Tool.WAppBomber.1.origin: Utility Android per l'invio di messaggi di massa nell'applicazione di messaggistica WhatsApp. Per funzionare, richiede l'accesso alla lista dei contatti dalla rubrica dell'utente.

Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.
Adware.MagicPush.1: Modulo adware che viene incorporato in applicazioni Android. Visualizza banner popup sopra l'interfaccia del sistema operativo quando questi programmi non sono in uso. Tali banner contengono informazioni fuorvianti. Il più delle volte, essi segnalano file sospetti presumibilmente rilevati, o parlano della necessità di bloccare messaggi spam od ottimizzare il consumo energetico del dispositivo. A questo scopo, all'utente viene suggerito di entrare nell'app corrispondente in cui è incorporato uno di questi moduli. All'apertura del programma vengono visualizzati annunci pubblicitari.
Adware.AdPush.39.origin
Adware.AdPush.36.origin: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.

Minacce su Google Play

A ottobre 2023 gli analisti dei virus dell'azienda Doctor Web hanno individuato sullo store Google Play oltre 50 applicazioni malevole. Tra di esse erano i trojan Android.Proxy.4gproxy.1, Android.Proxy.4gproxy.2, Android.Proxy.4gproxy.3 e Android.Proxy.4gproxy.4, i quali trasformavano i dispositivi infetti in server proxy e trasmettevano impercettibilmente attraverso di essi il traffico di terzi. Le diverse varianti del primo trojan venivano distribuite con il pretesto del gioco Photo Puzzle, del programma Sleepify per la lotta all'insonnia e dello strumento Rizzo The AI chatbot per l'utilizzo del chatbot. Il secondo era nascosto in un'applicazione per la visualizzazione di previsioni meteo: Premium Weather Pro. Il terzo era incorporato in un programma taccuino: Turbo Notes. Il quarto veniva distribuito dai malintenzionati con il pretesto dell'app Draw E per la creazione di immagini tramite intelligenza artificiale.

In questi programmi malevoli è integrata un'utility chiamata 4gproxy (rilevata da Dr.Web come Tool.4gproxy), la quale consente di utilizzare i dispositivi Android come un server proxy. Non è malevola di per sé e può essere utilizzata per scopi innocui. Tuttavia, nel caso dei trojan indicati sopra, l'utilizzo del proxy avviene senza la partecipazione degli utenti e il loro esplicito consenso.

Oltre a ciò, i nostri specialisti hanno individuato decine di nuovi programmi trojan della famiglia Android.FakeApp, una parte dei quali di nuovo veniva distribuita sotto le mentite spoglie di applicazioni finanziarie (ad esempio, Android.FakeApp.1459, Android.FakeApp.1460, Android.FakeApp.1461, Android.FakeApp.1462, Android.FakeApp.1472, Android.FakeApp.1474 e Android.FakeApp.1485). Il loro obiettivo principale è caricare siti web fraudolenti su cui alle potenziali vittime viene suggerito di diventare investitori. I malintenzionati chiedono i dati personali agli utenti e li invitano a investire denaro in quello che presumibilmente sarebbe progetti o strumenti finanziari redditizi.

Altri programmi falsificazione (Android.FakeApp.1433, Android.FakeApp.1444, Android.FakeApp.1450, Android.FakeApp.1451, Android.FakeApp.1455, Android.FakeApp.1457, Android.FakeApp.1476 e altri ancora) di nuovo erano mascherati da vari giochi. A determinate condizioni, invece di avviare i giochi, essi caricavano siti di casinò online o di scommesse.

Esempi di funzionamento come giochi di queste applicazioni trojan:

Esempi di siti di casinò online e di scommesse da essi caricati:

Anche il trojan Android.FakeApp.1478 eseguiva un compito simile — era nascosto in un programma per la lettura di notizie e pubblicazioni di argomento sportivo ed era in grado di caricare siti di scommesse.

Inoltre, sono stati rilevati nuovi programmi trojan presumibilmente studiati per aiutare i proprietari di dispostivi Android a trovare lavoro. Uno di essi si chiamava Rixx (Android.FakeApp.1468), l'altro Catalogue (Android.FakeApp.1471). All'avvio queste applicazioni malevole visualizzano una falsa lista di offerte di lavoro. Quando le potenziali vittime cercano di rispondere a uno degli annunci, loro viene chiesto di indicare i dati personali in un apposito modulo o contattare il "datore di lavoro" tramite le app di messaggistica, ad esempio WhatsApp o Telegram.

Di seguito è riportato un esempio di funzionamento di uno di questi programmi malevoli. Il trojan visualizza un modulo di phishing sotto le sembianze della finestra per la stesura del CV o invita a contattare il "datore di lavoro" tramite l'app di messaggistica.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Il tuo Android ha bisogno di protezione.

Utilizza Dr.Web

Il primo antivirus russo per Android
Oltre 140 milioni di download solo da Google Play
Gratis per gli utenti dei prodotti Dr.Web per privati

Scarica gratis

Doctor Web: panoramica sull'attività di virus per dispositivi mobili a settembre 2023

Thu, 26 Oct 2023 01:00:00 GMT

26 ottobre 2023

All'inizio di settembre l'azienda Doctor Web ha pubblicato uno studio su Android.Pandora.2 — un backdoor che crea una botnet dai dispositivi infettati ed è in grado di eseguire attacchi DDoS su comando dei malintenzionati. A metà mese i nostri specialisti hanno parlato di applicazioni malevole appartenenti alla famiglia Android.Spy.Lydia. Sono trojan spia multifunzionali, mirati agli utenti iraniani. I campioni della famiglia si mascherano da una piattaforma di trading online e su comando degli attaccanti sono in grado di eseguire diverse attività malevole. Ad esempio, intercettare e inviare SMS, raccogliere informazioni sui contatti nella rubrica, rubare il contenuto degli appunti, caricare siti di phishing ecc. I trojan Android.Spy.Lydia possono essere impiegati nei più svariati schemi di frode ed essere utilizzati per il furto di dati personali. Oltre a questo, con l'ausilio di essi, i malintenzionati possono rubare il denaro delle loro vittime.

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, a settembre 2023 l'attività delle applicazioni malevole è diminuita rispetto al mese precedente. Ad esempio, le applicazioni trojan pubblicitarie appartenenti alle famiglie Android.HiddenAds e Android.MobiDash venivano rilevate sui dispositivi protetti l'11,73% e il 26,30% in meno rispettivamente. Il numero di attacchi dei programmi trojan spia è diminuito del 25,11%, quello dei programmi ransomware Android.Locker del 10,52%, e quello dei trojan bancari del 4,51%. Allo stesso tempo, i proprietari di dispositivi Android si imbattevano nei programmi pubblicitari indesiderati il 14,32% più spesso.

Durante il mese di settembre sullo store di applicazioni Google Play sono state rilevate numerose nuove minacce. Tra queste, i programmi trojan appartenenti alla famiglia Android.FakeApp, impiegati in vari schemi di frode, i programmi malevoli della famiglia Android.Joker, che abbonano vittime a servizi a pagamento, e inoltre, le applicazioni trojan pubblicitarie Android.HiddenAds.

PRINCIPALI TENDENZE DI SETTEMBRE

Calata l'attività dei programmi malevoli
Comparsa di nuove applicazioni malevole sullo store di app Google Play

Minaccia mobile del mese

A settembre l'azienda Doctor Web ha presentato i dettagli dell'analisi di un programma malevolo, denominato Android.Pandora.2, mirato predominantemente agli utenti di lingua spagnola. I primi casi di attacchi con la sua partecipazione sono stati registrati a marzo 2023.

Questa applicazione trojan infetta i televisori smart e i TV box con Android arrivando su di essi tramite versioni di firmware compromesse, nonché con l'installazione di versioni trojan di programmi per la visualizzazione illegale di video online.

La funzione principale di Android.Pandora.2 è quella di condurre su comando dei malintenzionati diversi tipi di attacchi DDoS. Inoltre, questo programma malevolo può eseguire una serie di altre azioni, ad esempio, installare i propri aggiornamenti e sostituire il file di sistema hosts.

Lo studio eseguito dagli analisti dei virus Doctor Web ha mostrato che nella creazione di questo trojan i suoi autori hanno utilizzato i risultati di lavoro dei programmatori di Linux.Mirai, prendendo come base parte del suo codice. Quest'ultimo dal 2016 viene ampiamente impiegato per infettare i dispositivi IoT ("Internet of Things") ed effettuare attacchi DDoS a vari siti web.

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.HiddenAds.3697: Programma trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Spy.5106: Programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.Packed.57083: Rilevamento di applicazioni malevole protette dal software packer ApkProtector. Tra di esse possono essere i trojan bancari, gli spyware e altri software malevoli.
Android.Pandora.17: Rilevamento di applicazioni malevole che scaricano e installano il programma trojan backdoor Android.Pandora.2. I malintenzionati spesso incorporano tali programmi di download in applicazioni per Smart TV mirate agli utenti di lingua spagnola.
Android.MobiDash.7804: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.

Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.FakeMoney.7: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.CloudInject.1: Rilevamento di applicazioni Android modificate tramite il servizio cloud CloudInject e di un'utility Android dallo stesso nome (aggiunta al database dei virus Dr.Web come Tool.CloudInject). Tali programmi vengono modificati sul server remoto, e l'utente (modificatore) interessato a modificarli non ha il controllo su che cosa esattamente verrà incorporato in essi. Inoltre, le applicazioni ricevono un set di autorizzazioni pericolose. Dopo la modificazione, all'utente compare la possibilità di gestire in remoto questi programmi: bloccarli, visualizzare dialoghi configurabili, tracciare il fatto di installazione e rimozione di altri software ecc.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità la rendono potenzialmente pericolosa.
Program.wSpy.3.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.

Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Creano un ambiente di esecuzione virtuale che non influisce sul sistema operativo principale.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.Packer.3.origin: Rilevamento di programmi Android il codice dei quali è cifrato e offuscato dall'utility NP Manager.
Tool.ApkProtector.16.origin: Rilevamento di applicazioni Android protette dal software packer ApkProtector. Questo packer non è malevolo, tuttavia, i malintenzionati possono utilizzarlo nella creazione di programmi trojan e indesiderati per renderne più difficile il rilevamento da parte degli antivirus.

Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.
Adware.MagicPush.1: Modulo adware che viene incorporato in applicazioni Android. Visualizza banner popup sopra l'interfaccia del sistema operativo quando questi programmi non sono in uso. Tali banner contengono informazioni fuorvianti. Il più delle volte, essi segnalano file sospetti presumibilmente rilevati, o parlano della necessità di bloccare messaggi spam od ottimizzare il consumo energetico del dispositivo. A questo scopo, all'utente viene suggerito di entrare nell'app corrispondente in cui è incorporato uno di questi moduli. All'apertura del programma vengono visualizzati annunci pubblicitari.
Adware.AdPush.39.origin
Adware.AdPush.36.origin: Moduli adware che possono essere integrati in programmi Android. Visualizzano notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questi moduli raccolgono una serie di dati riservati, nonché sono in grado di scaricare altre app e avviarne l'installazione.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.

Minacce su Google Play

A settembre 2023, gli analisti dei virus dell'azienda Doctor Web hanno rilevato sullo store Google Play numerose nuove applicazioni malevole. In particolare, i programmi trojan che visualizzavano annunci invadenti. I malintenzionati li distribuivano con il pretesto di giochi: Agent Shooter (Android.HiddenAds.3781), Rainbow Stretch (Android.HiddenAds.3785), Rubber Punch 3D (Android.HiddenAds.3786) e Super Skibydi Killer (Android.HiddenAds.3787). Dopo essere stati installati sui dispositivi Android, questi trojan cercavano di nascondersi agli utenti. Per fare questo, sostituivano furtivamente le proprie icone situate sulla schermata principale con una versione trasparente e i relativi nomi con nomi vuoti. Inoltre, potevano fingere di essere il browser Google Chrome cambiando le icone con la copia corrispondente. Quando gli utenti fanno clic su tale icona, i programmi trojan avviano il browser, e loro stessi continuano a funzionare in modalità background. Questo consente ai trojan di diventare meno visibili e riduce la probabilità della loro rimozione prematura. Per di più, se il funzionamento dei programmi malevoli sarà terminato, gli utenti li riavvieranno pensando che stiano avviando il browser.

Oltre a ciò, i nostri specialisti hanno rilevato ulteriori programmi falsificazione dalla famiglia Android.FakeApp. Alcuni di essi (Android.FakeApp.1429, Android.FakeApp.1430, Android.FakeApp.1432, Android.FakeApp.1434, Android.FakeApp.1435 e altri) venivano distribuiti sotto le apparenze di programmi finanziari. Ad esempio, applicazioni per il trading di borsa, guide e tutorial sull'investimento, app per la contabilità domestica e altre. In realtà, la loro funzione principale era quella di caricare siti fraudolenti su cui le potenziali vittime venivano invitate a diventare "investitori".

Altri programmi falsificazione (ad esempio, Android.FakeApp.1433, Android.FakeApp.1436, Android.FakeApp.1437, Android.FakeApp.1438, Android.FakeApp.1439 e Android.FakeApp.1440) venivano spacciati dai malintenzionati per svariate app gioco. In una serie di casi, esse potevano effettivamente funzionare come giochi, ma la loro funzione principale era quella di caricare siti di casinò online.

Esempi di funzionamento di questi programmi malevoli in modalità gioco:

Esempi di siti di casinò online da essi caricati:

Allo stesso tempo, sullo store Google Play sono stati individuati ulteriori programmi trojan della famiglia Android.Joker, che iscrivevano proprietari di dispositivi Android a servizi a pagamento. Uno di questi trojan era nascosto in un'app con una raccolta di immagini, chiamata Beauty Wallpaper HD, secondo la classificazione dell'azienda Doctor Web è stato denominato Android.Joker.2216. Un altro veniva distribuito sotto le sembianze di un'app di messaggistica online, Love Emoji Messenger, ed è stato aggiunto al database dei virus Dr.Web come Android.Joker.2217.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Il tuo Android ha bisogno di protezione.

Utilizza Dr.Web

Il primo antivirus russo per Android
Oltre 140 milioni di download solo da Google Play
Gratis per gli utenti dei prodotti Dr.Web per privati

Scarica gratis

Doctor Web: panoramica sull'attività di virus per dispositivi mobili ad agosto 2023

Wed, 27 Sep 2023 03:00:00 GMT

27 settembre 2023

Secondo le statistiche di rilevamento Dr.Web per dispositivi mobili Android, ad agosto 2023 si trovavano di nuovo tra i programmi malevoli più diffusi le applicazioni trojan pubblicitarie delle famiglie Android.MobiDash e Android.HiddenAds. Rispetto al mese precedente, quelle prime venivano rilevate il 72,23% più spesso, mentre l'attività di quelle seconde è diminuita dell'8,87%.

Il numero di programmi trojan spia e di programmi ransomware rilevati sui dispositivi protetti è diminuito del 13,88% e del 18,14% rispettivamente. Allo stesso tempo, gli utenti riscontravano il 2,13% più spesso, rispetto a luglio, le applicazioni trojan bancarie.

Ad agosto sullo store di app Google Play è stato rilevato un ulteriore programma malevolo.

PRINCIPALI TENDENZE DI AGOSTO

Notevole crescita dell'attività dei programmi trojan pubblicitari Android.MobiDash
Diminuita l'attività dei programmi trojan pubblicitari Android.HiddenAds
Diminuita l'attività dei trojan spia e dei programma ransomware
Aumento del numero di attacchi delle applicazioni trojan bancarie

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.HiddenAds.3697: Programma trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Spy.5106: Programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.MobiDash.7802: Programma trojan che visualizza annunci pubblicitari invadenti. È un modulo software che gli sviluppatori software incorporano nelle applicazioni.
Android.Packed.57083: Rilevamento di applicazioni malevole protette dal software packer ApkProtector. Tra di esse possono essere i trojan bancari, gli spyware e altri software malevoli.
Android.Pandora.7: Rilevamento di applicazioni malevole che scaricano e installano il programma trojan backdoor Android.Pandora.2. I malintenzionati spesso incorporano tali programmi di download in applicazioni per Smart TV mirate agli utenti di lingua spagnola.

Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.FakeMoney.7
Program.FakeMoney.8: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Questi programmi simulano l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità la rendono potenzialmente pericolosa.
Program.wSpy.1.origin: Programma spia commerciale per il monitoraggio nascosto dei proprietari di dispositivi Android. Consente ai malintenzionati di leggere la corrispondenza (messaggi in popolari programmi di messaggistica istantanea ed SMS), ascoltare l'ambiente, tracciare la posizione del dispositivo, monitorare la cronologia del browser, ottenere l'accesso alla rubrica e ai contatti, alle fotografie e ai video, fare screenshot e scattare fotografie con la fotocamera del dispositivo, nonché ha la funzionalità keylogger.

Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.SilentInstaller.14.origin
Tool.SilentInstaller.7.origin
Tool.SilentInstaller.6.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Creano un ambiente di esecuzione virtuale che non influisce sul sistema operativo principale.
Tool.ApkProtector.16.origin: Rilevamento di applicazioni Android protette dal software packer ApkProtector. Questo packer non è malevolo, tuttavia, i malintenzionati possono utilizzarlo nella creazione di programmi trojan e indesiderati per renderne più difficile il rilevamento da parte degli antivirus.

Adware.AdPush.39.origin
Adware.AdPush.36.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questo modulo raccoglie una serie di dati riservati, ed è in grado di scaricare altre app e avviarne l'installazione.
Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.
Adware.MagicPush.1: Modulo adware che viene incorporato in applicazioni Android. Visualizza banner popup sopra l'interfaccia del sistema operativo quando questi programmi non sono in uso. Tali banner contengono informazioni fuorvianti. Il più delle volte, essi segnalano file sospetti presumibilmente rilevati, o parlano della necessità di bloccare messaggi spam od ottimizzare il consumo energetico del dispositivo. A questo scopo, all'utente viene suggerito di entrare nell'app corrispondente in cui è incorporato uno di questi moduli. All'apertura del programma l'utente vede annunci pubblicitari.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.

Minacce su Google Play

Ad agosto 2023 sullo store di app Google Play è stato rilevato un programma trojan Android.HiddenAds.3766. Veniva distribuito sotto le apparenze di un'applicazione raccolta di immagini Exquisite Wallpaper Collection. Tuttavia, la sua funzione principale è quella di visualizzare annunci pubblicitari indesiderati. Inoltre, Android.HiddenAds.3766 cerca di nascondersi all'utente. Il trojan sostituisce la propria icona sulla schermata principale con una versione trasparente, nonché il suo nome con uno vuoto. In una serie di casi, invece di questo, il programma malevolo può sostituirla con una copia dell'icona del browser Google Chrome, al clic sulla quale non verrà avviata l'app malevola, ma il browser stesso.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Il tuo Android ha bisogno di protezione.

Utilizza Dr.Web

Il primo antivirus russo per Android
Oltre 140 milioni di download solo da Google Play
Gratis per gli utenti dei prodotti Dr.Web per privati

Scarica gratis

L'arte della manipolazione: i truffatori rubano denaro con ausilio di software per l'amministrazione remota di dispositivi mobili

Fri, 22 Sep 2023 00:00:00 GMT

22 settembre 2023

L'azienda Doctor Web informa su casi sempre più frequenti di frode con l'utilizzo di programmi per l'accesso desktop remoto. Della più vasta popolarità tra i malintenzionati gode il programma RustDesk.

A seguito delle recenti fughe di frammenti dei database di una serie di banche, i truffatori hanno ottenuto l'accesso ai dati personali dei clienti. I malintenzionati utilizzano questi dati per conquistare la fiducia delle proprie vittime. Fingendosi personale di assistenza di una banca, i criminali comunicano che sul conto della vittima sono state notate attività sospette che potrebbero portare alla perdita di denaro. E per impedire il furto, presumibilmente sarebbe necessario installare sul dispositivo un programma "di protezione". I malintenzionati suggeriscono di passare allo store di applicazioni e digitare nella barra di ricerca richieste di tipo "assistenza Sberbank", "supporto VTB" ecc.

Fonte: nakopi-deneg.ru

In realtà, fino a poco tempo fa nei primi risultati di ricerca Google Play per le simili frasi venivano trovati i programmi come AweSun Remote Desktop, RustDesk Remote Desktop, Удаленный рабочий стол (Udalennyj Rabochij Stol, Remote Desktop) AnyDesk. Tale situazione è dovuta al fatto che il sistema di classifica delle app in Google Play tiene conto di quale applicazione scelgono gli utenti inserendo una determinata query di ricerca. E più persone, cercando un'app per le parole chiave "assistenza nome_banca", faranno un errore e andranno al link di un'applicazione per l'amministrazione remota, più Google Play consiglierà tale programma agli utenti.

Va notato che i programmi per la gestione remota in sé non sono malevoli. Il problema insorge quando essi vengono utilizzati per commettere attività illegali.

Dopo l'installazione dell'applicazione, i truffatori chiedono alla vittima di fornire loro l'identificatore univoco, e quindi assumono il pieno controllo del dispositivo. L'accesso al dispositivo consente loro di effettuare pagamenti e bonifici dal conto della vittima. In tale situazione, sarà impossibile dimostrare l'hackeraggio e revocare un ordine di pagamento, in quanto dal punto di vista della banca, è proprio il dispositivo del cliente che interagisce con il sistema di pagamento.

Al momento, l'azienda Google ha tolto l'applicazione RustDesk dalla pubblicazione sullo store Google Play. In conseguenza di ciò, i malintenzionati hanno spostato la loro attività dallo store di app, e ora, per realizzare lo schema di frode con la gestione remota, loro utilizzano siti web — ad esempio, hххps://помощникбанков[.]рф (hххps hxxps://assistentebancario[.]rf).

Su tali siti le potenziali vittime vengono invitate a scaricare l'applicazione a noi già nota RustDesk. In alcuni casi, per farle sembrare più convincenti, nelle applicazioni scaricate sono sostituiti i nomi e l'icona con quelli corrispondenti alla determinata banca. Ha un ulteriore impatto psicologico anche la sezione con le recensioni degli "utenti soddisfatti".

L'antivirus Dr.Web rileva l'applicazione RustDesk come Tool.RustDesk.1.origin, e le applicazioni modificate vengono rilevate come Android.FakeApp.1426. Per una sicurezza aggiuntiva, il componente filtro URL blocca l'accesso ai siti dei malintenzionati, non lasciando che gli utenti rimangano vittima dell'inganno.

L'azienda Doctor Web vi ricorda:

Fate attenzione rispondendo alle chiamate di banche e altre organizzazioni.
Non installate mai sui propri dispositivi programmi su richiesta altrui.
Non comunicate a nessuno i codici da SMS o notifiche push.
Non parlate con gli "impiegati bancari". Se venite informati di un addebito non autorizzato sul vostro conto, riattaccate. Se volete assicurarvi che sia tutto apposto, richiamate voi stessi la banca al numero indicato sulla vostra carta.

Maggiori informazioni su Tool.RustDesk.1.origin

Maggiori informazioni su Android.FakeApp.1426

Indicatori di compromissione:

помощникбанков[.]рф (assistentebancario[.]rf)
поддержкабанка[.]рф (assistenzabancaria[.]rf)
поддержка-банка[.]рф (supporto-banca[.]rf)
цбподдержка[.]рф (bancacentralesupporto[.]rf)
поддержкацб[.]рф (supportobancacentrale[.]rf)
24поддержка[.]рф (24supporto[.]rf)

sha1:2fcee98226ef238e5daa589fb338f387121880c6
sha1:f28cb04a56d645067815d91d079b060089dbe9fe
sha1:9a96782621c9f98e3b496a9592ad397ec9ffb162
sha1:535ecea51c63d3184981db61b3c0f472cda10092
sha1:ee406a21dcb4fe02feb514b9c17175ee95625213

Doctor Web: panoramica sull'attività di virus per dispositivi mobili a luglio 2023

Fri, 15 Sep 2023 01:00:00 GMT

15 settembre 2023

Secondo le statistiche di rilevamento di Dr.Web per dispositivi mobili Android, a luglio 2023 gli utenti riscontravano i programmi trojan pubblicitari della famiglia Android.HiddenAds il 33,48% più spesso rispetto a giugno. Allo stesso tempo, i programmi trojan pubblicitari della famiglia Android.MobiDash venivano rilevati il 24,11% meno spesso. Rispetto al mese scorso, il numero di attacchi dei programmi trojan spia è diminuito del 2,81%. Contemporaneamente, l'attività dei trojan bancari è aumentata del 2,31%, e quella dei programmi ransomware della famiglia Android.Locker del 8,53%.

Nuove minacce informatiche sono state rilevate sullo store di app Google Play. Tra di esse sono un programma trojan tramite cui i malintenzionati cercavano di rubare criptovalute ai proprietari di dispostivi Android, e inoltre, le ennesime applicazioni malevole che abbonavano le vittime a servizi a pagamento.

PRINCIPALI TENDENZE DI LUGLIO

Crescita dell'attività dei programmi trojan pubblicitari Android.HiddenAds
Diminuita l'attività dei programmi trojan pubblicitari Android.MobiDash
Crescita dell'attività dei trojan bancari e delle applicazioni malevole spia
Nuove minacce informatiche su Google Play

Secondo i dati dei prodotti antivirus Dr.Web per Android

Android.HiddenAds.3697: Programma trojan per la visualizzazione di pubblicità invadenti. I campioni di questa famiglia spesso vengono distribuiti sotto le apparenze di applicazioni innocue e in alcuni casi vengono installati nella directory di sistema da altri software malevoli. Entrando su dispositivi Android, tali trojan pubblicitari di solito nascondono all'utente la propria presenza sul sistema: per esempio, nascondono l'icona dell'applicazione dal menu della schermata principale.
Android.Spy.5106: Programma trojan che rappresenta versioni alterate di mods non ufficiali dell'applicazione WhatsApp. È in grado di rubare il contenuto di notifiche, offrire l'installazione di programmi da fonti sconosciute, e durante l'utilizzo del programma di messaggistica, visualizzare finestre di dialogo con contenuto configurabile da remoto.
Android.Packed.57083: Rilevamento di applicazioni malevole protette dal software packer ApkProtector. Tra di esse possono essere i trojan bancari, gli spyware e altri software malevoli.
Android.Pandora.7
Android.Pandora.5: Rilevamento di applicazioni malevole che scaricano e installano il programma trojan backdoor Android.Pandora.2. I malintenzionati spesso incorporano tali programmi di download in applicazioni per Smart TV mirate agli utenti di lingua spagnola.

Program.FakeMoney.7
Program.FakeMoney.8: Rilevamento di applicazioni che presumibilmente consentirebbero di guadagnare con l'effettuazione di determinate azioni o compiti. Simula l'accredito di premi, tuttavia, per ritirare il denaro "guadagnato", è necessario accumulare una determinata somma. Anche quando gli utenti riescono a farlo, non è possibile per loro ottenere i pagamenti.
Program.FakeAntiVirus.1: Rilevamento di programmi adware che simulano il funzionamento di software antivirus. Tali programmi possono segnalare minacce inesistenti e ingannare gli utenti chiedendo di pagare per l'acquisto di una versione completa.
Program.SecretVideoRecorder.1.origin: Rilevamento di varie versioni di un'applicazione per la ripresa di foto e video in background attraverso le fotocamere integrate di dispositivi Android. Questo programma può funzionare impercettibilmente consentendo di disattivare le notifiche di registrazione, nonché cambiare con quelle false l'icona e la descrizione dell'app. Tali funzionalità lo rendono potenzialmente pericoloso.
Program.SnoopPhone.1.origin: Programma per il monitoraggio dei proprietari di dispositivi Android. Consente di leggere SMS, ottenere informazioni su chiamate, tracciare la posizione e registrare l'audio dell'ambiente circostante.

Tool.SilentInstaller.14.origin
Tool.SilentInstaller.6.origin: Piattaforme software potenzialmente pericolose che consentono ad applicazioni di avviare file APK senza installazione. Creano un ambiente di esecuzione virtuale che non influisce sul sistema operativo principale.
Tool.LuckyPatcher.1.origin: Utility che consente di modificare le applicazioni Android installate (creare patch per esse) al fine di modificarne la logica di funzionamento o aggirare determinate restrizioni. Ad esempio, utilizzandola, gli utenti possono tentare di disattivare il controllo dei permessi di root in programmi bancari od ottenere risorse illimitate in giochi. Per creare le patch, l'utility scarica da internet script appositamente preparati che chiunque sia interessato può creare e aggiungere a un database comune. Le funzionalità di tali script possono risultare, tra l'altro, anche malevole, pertanto, le patch create possono rappresentare un potenziale pericolo.
Tool.ApkProtector.16.origin: Rilevamento di applicazioni Android protette dal software packer ApkProtector. Questo packer non è malevolo, tuttavia, i malintenzionati possono utilizzarlo nella creazione di programmi trojan e indesiderati per renderne più difficile il rilevamento da parte degli antivirus.
Tool.Packer.3.origin: Rilevamento di programmi Android il codice dei quali è cifrato e offuscato dall'utility NP Manager.

Adware.Fictus.1.origin: Modulo adware che i malintenzionati incorporano in versioni clone di popolari giochi e programmi Android. Viene integrato in programmi tramite un packer specializzato net2share. Le copie di software create in questo modo vengono distribuite attraverso diversi store di app e dopo l'installazione visualizzano pubblicità indesiderate.
Adware.ShareInstall.1.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie sulla schermata di blocco del sistema operativo Android.
Adware.Airpush.7.origin: Campione di una famiglia di moduli adware che vengono incorporati in applicazioni Android e visualizzano le più svariate pubblicità. A seconda della versione e variante, queste possono essere notifiche, finestre a comparsa o banner pubblicitari. Tramite questi moduli, i malintenzionati spesso distribuiscono programmi malevoli invitando a installare determinati software. Inoltre, tali moduli trasmettono al server remoto varie informazioni riservate.
Adware.MagicPush.3: Modulo adware che viene incorporato in applicazioni Android. Visualizza banner popup sopra l'interfaccia del sistema operativo quando questi programmi non sono in uso. Tali banner contengono informazioni fuorvianti. Il più delle volte, essi segnalano file sospetti presumibilmente rilevati, o parlano della necessità di bloccare messaggi spam od ottimizzare il consumo energetico del dispositivo. A questo scopo, all'utente viene suggerito di entrare nell'app corrispondente in cui è incorporato uno di questi moduli. All'apertura del programma l'utente vede annunci pubblicitari.
Adware.AdPush.39.origin: Modulo adware che può essere integrato in programmi Android. Visualizza notifiche pubblicitarie che fuorviano gli utenti. Ad esempio, tali notifiche possono somigliare ai messaggi del sistema operativo. Inoltre, questo modulo raccoglie una serie di dati riservati, ed è in grado di scaricare altre app e avviarne l'installazione.

Minacce su Google Play

A luglio 2023 il laboratorio dei virus dell'azienda Doctor Web ha individuato sullo store Google Play un programma trojan, Android.CoinSteal.105, progettato per il furto di criptovalute. I malintenzionati cercavano di spacciarlo per l'applicazione ufficiale dello scambio di criptovalute P2B, P2B official, distribuendolo sotto un nome simile — P2B Trade: Realize The P2Pb2b.

L'immagine seguente mostra uno screenshot del vero programma a sinistra e dell'applicazione trojan a destra.

Il falso programma veniva promosso da blogger a tema di criptovaluta, e di conseguenza, il numero delle sue installazioni si è rivelato il doppio di quello dell'originale.

All'avvio questo trojan apre in una WebView il sito del sistema di distribuzione del traffico impostato dai malintenzionati, dal quale viene effettuata una catena di reindirizzamenti verso altre risorse. Al momento, il trojan carica il sito ufficiale dello scambio di criptovalute https://p2pb2b.com, tuttavia, potrebbero essere siti di destinazione anche altri siti web — quelli fraudolenti, contenenti annunci pubblicitari ecc.

Dopo aver caricato il sito dello scambio di criptovalute, Android.CoinSteal.105 incorpora in esso script JS, attraverso cui sostituisce furtivamente gli indirizzi dei portafogli cripto inseriti dagli utenti per il prelievo delle criptovalute.

Oltre a ciò, i cybercriminali di nuovo distribuivano attraverso Google Play programmi malevoli che abbonavano i proprietari di dispositivi Android a servizi a pagamento. Uno di essi era il programma trojan Android.Harly.80, nascosto in un'app interattiva, Desktop Pets – Lulu, progettata per l'interazione con un animale da compagnia virtuale.

Altri appartenevano alla famiglia Android.Joker e sono stati aggiunti al database dei virus Dr.Web come Android.Joker.2170, Android.Joker.2171 e Android.Joker.2176. Il primo era incorporato in un programma chiamato Cool Charging Animation, progettato per visualizzare informazioni sulla ricarica della batteria sulla schermata di blocco. Il secondo si nascondeva nel programma Smart Counter, studiato per registrare le attività e tenere traccia delle buone e cattive abitudini. Il terzo veniva distribuito sotto le sembianze di una raccolta di immagini 4K HD Wallpaper per il cambio dello sfondo della schermata iniziale.

Per proteggere i dispositivi Android dai programmi malevoli e indesiderati, consigliamo agli utenti di installare i prodotti antivirus Dr.Web per Android.

Indicatori di compromissione

Il tuo Android ha bisogno di protezione.

Utilizza Dr.Web

Il primo antivirus russo per Android
Oltre 140 milioni di download solo da Google Play
Gratis per gli utenti dei prodotti Dr.Web per privati

Scarica gratis

Trojan della famiglia Android.Spy.Lydia si mascherano da piattaforma di trading online iraniana

Wed, 13 Sep 2023 01:00:00 GMT

13 settembre 2023

L'azienda Doctor Web ha rilevato nuove versioni dei trojan della famiglia Android.Spy.Lydia che eseguono una serie di funzioni spia sui dispositivi infetti con sistema operativo Android, nonché forniscono ai malintenzionati la possibilità di controllarli da remoto allo scopo di rubare informazioni personali e denaro. Inoltre, i trojan dispongono di un meccanismo di protezione che controlla l'avvio su un emulatore o un dispositivo di test. In tali casi essi terminano il proprio funzionamento.

I trojan vengono distribuiti attraverso siti malevoli mascherati da quelli di organizzazioni finanziarie, ad esempio, borse online il cui pubblico principale, secondo i progetti dei truffatori, dovrebbero essere gli utenti iraniani. Un esempio di tale sito è hxxp[:]//biuy.are-eg[.]com/dashbord/:

Qui alla potenziale vittima viene chiesto di inserire i dati personali: cognome, nome, patronimico, numero di cellulare, nonché numero di identificazione nazionale. Dopo l'inserimento delle informazioni richieste, il dispositivo apre la pagina hxxp[:]//biuy.are-eg[.]com/dashbord/dl.php su cui viene comunicato che, per accedere al trading, è necessario scaricare e installare un apposito software. Tuttavia, dopo il clic sul pulsante di download, invece del programma affidabile aspettato, alla vittima viene inviata una delle varianti del trojan Android.Spy.Lydia.1.

All'avvio, il trojan chiede dal sito hxxp[:]//teuoi[.]comun link a un sito di phishing che quindi viene visualizzato sullo schermo del dispositivo tramite il componente WebView senza avvio del browser. La versione del programma malevolo da noi ottenuta apriva il seguente URL: hxxps[:]//my-edalatsaham[.]sbs/fa/app.php

La pagina web di phishing caricata da WebView è mostrata sullo screenshot seguente:

Si tratta di un modulo per l'inserimento del numero di identificazione nazionale al quale successivamente verrà effettuato il "pagamento dei dividendi". In questa fase il trojan invia al server di controllo il suo identificatore univoco e le informazioni sull'avvenuta infezione del dispositivo.

Dopo l'infezione, il trojan si connette all'host remoto ws[:]//httpiamaloneqs[.]xyz:80 tramite il protocollo WebSocket e attende la ricezione di comandi che vengono inviati a tutti i dispositivi infetti contemporaneamente. Ciascun comando è dotato del identificativo del dispositivo a cui è indirizzato. Lo screenshot seguente mostra i comandi inviati dal server di comando e controllo alla botnet.

I trojan della famiglia Android.Spy.Lydia sono in grado di eseguire le seguenti funzioni:

raccogliere informazioni sulle applicazioni installate,
nascondere o mostrare la propria icona nella lista delle applicazioni sulla schermata principale,
disattivare l'audio sul dispositivo,
trasmettere il contenuto degli SMS in arrivo al server o ad un numero specificato,
trasmettere il contenuto degli appunti al server,
inviare SMS di contenuto arbitrario a numeri specificati,
trasmettere al server la lista dei contatti dalla rubrica,
aggiungere nuovi contatti alla rubrica,
caricare siti web specificati tramite il componente WebView.

Tali funzionalità consentono ai malintenzionati di utilizzare questa famiglia di trojan per intercettare messaggi SMS, determinare quali applicazioni bancarie utilizza la potenziale vittima, e commettere azioni fraudolente con conti bancari. Ad esempio, i cybercriminali possono leggere gli SMS dalle banche per scoprire informazioni sul saldo del conto e sugli acquisti effettuati, il che successivamente consente loro di conquistare facilmente la fiducia dell'utente. Inoltre, utilizzando la tecnologia A2P (invio di SMS da applicazioni) e le vulnerabilità del protocollo di invio di SMS, i malintenzionati possono inviare falsi messaggi spacciati per quelle delle banche chiedendo di eseguire determinate azioni, il che mette a rischio la sicurezza dei conti bancari. Dopo aver letto la corrispondenza della vittima, gli scammer possono presentarsi come uno dei suoi conoscenti e chiedere di trasferire denaro "in prestito", aiutare a pagare qualche fattura ecc. Infine, questi trojan consentono di aggirare l'autenticazione a due fattori fornendo ai malintenzionati pieno accesso al conto bancario dopo il furto delle relative credenziali.

Purtroppo, questo tipo di attacco sta rapidamente guadagnando popolarità: secondo i dati della Banca di Russia, il numero di operazioni illegali nel secondo trimestre del 2023 è aumentato del 28,5%. Durante questo periodo, i malintenzionati sono riusciti a rubare 3,6 miliardi di rubli.

L'azienda Doctor Web vi ricorda del pericolo del download di software da fonti dubbie, nonché della necessità di esercitare cautela quando si ricevono le chiamate o i messaggi improvvisi da banche e altre organizzazioni. Oltre a ciò, consigliamo vivamente di installare un antivirus sul dispositivo.

L'antivirus Dr.Web Security Space per Android rileva e neutralizza i trojan della famiglia Android.Spy.Lydia proteggendo i dispositivi dei nostri utenti, rendendo molto più difficile il furto di informazioni personali e denaro.

Indicatori di compromissione

Maggiori informazioni su Android.Spy.Lydia.1