Oblivion, il malware da 300 dollari al mese che controlla qualsiasi Android: come difendersi

Oblivion è un malware per Android che viene venduto in abbonamento nei forum di hacking, a partire da 300 dollari al mese, e promette a chi lo acquista il controllo remoto e invisibile di quasi qualsiasi smartphone Android in circolazione. Non parliamo di un semplice virus, ma di un RAT (Remote Access Trojan), cioè di un trojan di accesso remoto: una categoria di malware progettata per consentire a un attaccante di osservare e comandare un dispositivo a distanza senza che l'utente se ne accorga. Le analisi condotte dai ricercatori di sicurezza di Certo Software (azienda di cybersecurity) indicano che Oblivion non è l’ennesimo strumento riciclato del sottobosco cybercriminale, ma una piattaforma sviluppata da zero, curata e pensata per aggirare in modo sistematico molte delle protezioni introdotte negli ultimi anni da Android.

Il malware viene promosso apertamente su forum di hacking, accompagnato da video dimostrativi, e prende di mira versioni del sistema operativo da Android 8 ad Android 16, coprendo di fatto la quasi totalità dei dispositivi attualmente in circolazione. La sua pericolosità non risiede in una singola funzione rivoluzionaria, ma nella combinazione di più elementi: installazione facilitata tramite ingegneria sociale, concessione automatica di permessi sensibili, controllo remoto nascosto, raccolta capillare dei dati e una persistenza che rende la rimozione estremamente complessa. A rendere il quadro ancora più critico è il modello commerciale “chiavi in mano”: chi paga non riceve il codice sorgente del malware, ma l'accesso continuativo a un servizio semplice da utilizzare, che abbassa drasticamente la soglia tecnica necessaria per condurre attacchi informatici avanzati. Vediamo più nel dettaglio come agisce Oblivion e come difendersi.

Come funziona il malware Oblivion

Oblivion arriva sul dispositivo attraverso un dropper, ovvero un’applicazione apparentemente innocua il cui unico scopo è installare il malware vero e proprio. Il sistema sfrutta tecniche di ingegneria sociale, cioè la manipolazione psicologica dell'utente, mostrando finti avvisi di aggiornamento che imitano quelli del Play Store di Google e invitano ad abilitare l'installazione da “fonti sconosciute”, una funzione che permette di installare app al di fuori dello stesso Play Store. Una volta installato, entra in gioco l’aspetto tecnicamente più rilevante: l'assegnazione automatica dei permessi. Normalmente Android richiede un consenso esplicito per autorizzazioni critiche come i servizi di Accessibilità, una funzione nata per aiutare le persone con disabilità a interagire con lo smartphone. Se abusato, questo servizio consente però di leggere ciò che appare sullo schermo, simulare tocchi, intercettare ciò che digitiamo e perfino bloccare finestre di sicurezza prima che siano visibili. Oblivion, secondo le dimostrazioni analizzate, riesce a ottenere questi privilegi senza alcuna interazione dell'utente e anche su interfacce software personalizzate, come quelle di Samsung, Xiaomi e OPPO.

Il controllo remoto avviene tramite VNC (Virtual Network Computing), una tecnologia legittima per la gestione a distanza dei dispositivi, declinata però in modalità HVNC che, come spiegano i ricercatori di sicurezza, altro non è che «una versione [di VNC] che esegue una sessione completamente separata e nascosta che non è visibile all'utente». Mentre sullo schermo compare una convincente animazione di “aggiornamento di sistema”, l'attaccante opera in background. Grazie a queste capacità, Oblivion può leggere e inviare SMS, intercettare codici di autenticazione a due fattori, registrare ogni input tramite un keylogger (un software che cattura ciò che viene digitato sulla tastiera), accedere a file e app installate e sbloccare automaticamente il telefono anche dopo un riavvio. La persistenza è garantita da meccanismi di auto-recupero e dall’occultamento completo dell'app e dei processi, rendendo inefficaci molti tentativi manuali di rimozione.

Come difendersi

Per difendersi da Oblivion non bisogna fare chissà cosa: in molti casi dovrebbe essere sufficiente seguire alcune regole basilari di sicurezza, che elenchiamo di seguito.

• Installare app e aggiornamenti solo dal Play Store: evitiamo l’installazione di file APK da fonti esterne se non in casi eccezionali e pienamente consapevoli, in quanto la maggior parte delle infezioni da RAT nasce proprio dal sideloading, cioè dall'installazione manuale di app fuori dallo store ufficiale di Google.
• Mantenere un atteggiamento critico verso richieste di aggiornamento inattese: nessuna app legittima chiede di abilitare procedure insolite o di ignorare i normali canali di distribuzione.
• Controllare periodicamente le autorizzazioni di accessibilità: questo è fattibile dalla sezione Impostazioni > Accessibilità di Android. Da qui bisognerà poi rimuovere qualsiasi app che non riconosciamo o che non abbia un motivo chiaro per essere presente.
• Fare regolari scansioni di sicurezza: su Android è fondamentale ricorrere a strumenti di scansione di sicurezza affidabili, che possono aiutare a individuare configurazioni anomale di permessi e processi nascosti, segnali tipici del funzionamento di malware come Oblivion.

non perderti questo articolo

Come proteggere lo smartphone dagli attacchi informatici degli hacker: 5 suggerimenti utili