Con Hirudo «controllare l’app» non serve più: controlla la fonte

«Controlla che l’app abbia l’aspetto giusto» è da anni un consiglio di sicurezza standard. Prova a seguirlo ora che è il malware stesso a cancellare la tua vera app bancaria e a installare un’imitazione che si comporta allo stesso modo. È la scomoda lezione di Hirudo.

Secondo il resoconto di CHIP sui risultati di ThreatFabric, Hirudo si spaccia per un’app di shopping, intrattenimento o video brevi. Una volta installato, chiede permessi con un pretesto, tra cui i servizi di accessibilità. Poi rimuove l’app bancaria originale, scarica una versione modificata e la installa. Finora ThreatFabric ha trovato copie di otto app bancarie.

L’app manomessa assomiglia in gran parte all’originale. Stando a quanto riferito, gli aggressori possono catturare le password bancarie, i PIN di pagamento e del dispositivo, gli SMS e il contenuto dello schermo, e perfino abusare di fotocamera e microfono. I primi casi hanno riguardato app bancarie indonesiane, con segnali di attacchi a istituti finanziari in Cina, India, Messico, Marocco e Thailandia. Il numero di vittime è sconosciuto, ma si parla di migliaia.

I controlli di cui ci fidavamo sono proprio quelli aggirati

La parte inquietante non è l’app falsa. Le app false non sono una novità. È che un meccanismo di hooking integrato, stando a quanto riferito, riesce ad aggirare i controlli della firma, i controlli di accessibilità e le richieste di Play Integrity, proprio le protezioni che ci aspettiamo individuino le manomissioni. Una banca non può distinguere facilmente «la mia vera app» da «una copia che risponde come la mia vera app» se tutto ciò su cui si basa il controllo gira sul telefono compromesso.

Per gli utenti, i vecchi consigli («guarda l’icona», «controlla il nome», «verifica che sia la versione giusta») non bastano più. Un altro articolo, shattered.io, arriva a dire che la sostituta porta lo stesso nome e la stessa versione dell’originale. A nostro avviso, per questa categoria di minacce quel consiglio è ormai superato. Non si può verificare un’app a occhio quando l’aggressore controlla ciò che vedi.

Dove sta la vera difesa: prima dell’installazione

Se non ci si può fidare dell’app a posteriori, la decisione che conta è quella precedente: cosa lasci entrare nel telefono. Hirudo non parte da un’app bancaria. Parte da un’app di shopping o di video dall’aria innocua, e dal fatto che tu conceda l’accesso di accessibilità. Quindi lo diciamo senza giri di parole:

• Installa solo da fonti ufficiali. Non aprire file APK di store sconosciuti, per quanto l’offerta sembri buona.
• Considera un campanello d’allarme la richiesta di accessibilità da parte di un’app di shopping o di video. La nostra opinione: se un’app qualunque ne ha bisogno, elimina l’app.
• Tieni il dispositivo aggiornato ed esegui regolarmente le scansioni di Play Protect, come raccomanda l’articolo di CHIP.

Niente di tutto questo è affascinante, e Play Protect non fa miracoli. Ma, a nostro avviso, sono le abitudini che funzionano prima che il danno sia fatto. Preferiamo affidarci a un’abitudine noiosa piuttosto che all’autocontrollo di un’app bancaria.

Le banche devono portare il controllo fuori dal telefono

La raccomandazione per le banche è la parte più rivelatrice: collegare i controlli di sicurezza al lato server e a singole transazioni. Lo leggiamo come un’ammissione tacita che i soli controlli sul dispositivo non reggono. A nostro avviso il settore va in questa direzione, e probabilmente gli utenti devono aspettarsi più passaggi di conferma sui pagamenti. Fastidioso, sì, ma meglio di una pagina di pagamento falsa che mostra «successo» dopo aver preso i tuoi dati.

Considera la fonte di installazione come la serratura della porta

Se sospetti un’infezione, il consiglio del BSI citato da CHIP è controllare le app installate di recente ed eliminarle per prime. Poi esegui una scansione con un antivirus aggiornato, prova la modalità provvisoria e lascia il ripristino delle impostazioni di fabbrica come ultima risorsa, ed ecco perché i backup contano. Ma prevenire costa molto meno. Considera la fonte di installazione come la serratura della porta, non come una preferenza. Hirudo dimostra che, una volta che qualcosa è dentro, «sembra a posto» non dice nulla.