ExpensiveWall, malware scoperto sullo store Google

I ricercatori di Check Point hanno scoperto sul Google Play Store quasi 50 app contenenti malware Android, denominati ExpensiveWall, che inviano SMS premium all’insaputa dell’utente. Le app sono state scaricate milioni di volte prima della loro rimozione da parte dell’azienda di Mountain View. Ciò dimostra ancora una volta che la protezione anti-malware non funziona alla perfezione e può essere aggirata con tecniche di offuscamento.

ExpensiveWall è una variante del malware scoperto all’inizio dell’anno. Gli autori hanno però apportato alcune modifiche che ne impediscono la rilevazione. Sfruttando una comune tecnica di offuscamento, chiamata packing, il file eseguibile viene compresso e cifrato prima dell’upload sul Play Store, eludendo così lo scanner di Google. L’operazione inversa viene effettuata sul dispositivo dell’utente, dopo l’installazione. Check Point ha comunicato la sua scoperta il 7 agosto e Google ha rimosso tutte le app infette. La funzionalità Play Protect dovrebbe eliminarle anche dallo smartphone.

Lo scopo principale di ExpensiveWall è iscrivere la vittima ad alcuni servizi a pagamento e inviare SMS premium, ma il malware può essere facilmente modificato per eseguire altre operazioni, come scattare foto, registrare audio e rubare dati sensibili che verranno inviati ad server remoto. Tutte le attività avvengono in maniera “silenziosa”, quindi si tratta a tutti gli effetti di un tool di spionaggio.

Le app infette richiedono l’accesso ad Internet e agli SMS, ma molti utenti non prestano attenzione ai permessi, in quanto comuni a numerose altre app. Inoltre la loro presenza sullo store Google è (teoricamente) sinonimo di app affidabili e sicure. Invece ExpensiveWall comunica al server remoto diversi dati del dispositivo, come posizione, MAC, indirizzo IP, IMSI e IMEI, quindi effettua la sottoscrizione a servizi premium e inizia l’invio degli SMS. Il consiglio è leggere i commenti degli altri utenti, verificare i permessi e attivare la funzionalità Play Protect nell’app Play Store.