Scovato Morpheus, lo spyware commerciale italiano che spia e attacca gli Android: come difendersi

Morpheus è uno spyware, cioè un software spia, che è stato individuato dall'Osservatorio Nessuno, un’organizzazione italiana no-profit attiva nel campo dei diritti digitali. Morpheus è progettato per infettare dispositivi Android e sarebbe riconducibile, secondo l'analisi tecnica condotta dai ricercatori, all'azienda italiana IPS S.p.A., attiva da oltre trent'anni nel settore delle intercettazioni legali (che al momento non ha lasciato dichiarazioni sulla faccenda). Morpheus non è quindi un malware creato da criminali informatici comuni: è uno strumento di sorveglianza professionale (seppur di tipo low cost), pensato per essere venduto ad agenzie governative e forze dell'ordine, che solleva interrogativi etici e legali rilevanti.

Ciò che lo rende particolarmente interessante (e preoccupante dal punto di vista della sicurezza informatica) è la relativa semplicità con cui penetra nei sistemi. Morpheus non sfrutta vulnerabilità nascoste nei sistemi operativi, ma fa leva sulla manipolazione psicologica dell'utente, la cosiddetta ingegneria sociale, inducendolo a installare autonomamente il programma malevolo. Una volta attivo, acquisisce privilegi amministrativi avanzati, aggira l'autenticazione biometrica di WhatsApp e opera in modo invisibile sullo sfondo del dispositivo.

Come fa Morpheus a infettare i dispositivi Android

Il vettore d'attacco iniziale è un SMS apparentemente inviato dall'operatore telefonico, che segnala un presunto problema con la rete mobile o la scheda SIM. Il messaggio reindirizza verso un portale Web contraffatto, che imita graficamente i canali di assistenza ufficiali, dove viene richiesto di scaricare un'applicazione per risolvere il problema. Questa prima app funge da dropper, un programma che non causa danni diretti ma funge da tramite per installare il vero agente malevolo sul dispositivo.

Una volta avviata, l'app scarica e installa lo spyware vero e proprio, camuffandolo dietro icone che ricordano quelle delle impostazioni di sistema o di servizi di sicurezza. Da questo momento lo spyware sfrutta i servizi di accessibilità di Android, ovvero quella famiglia di funzioni pensate per aiutare utenti con disabilità a interagire con il dispositivo, per leggere i contenuti visualizzati sullo schermo e interagire con le altre app senza che l'utente se ne accorga. Riesce anche a disabilitare gli antivirus e gli indicatori visivi che normalmente segnalano l'uso di microfono e fotocamera.

Uno degli aspetti più insidiosi riguarda l'uso degli overlay, ovvero interfacce grafiche sovrapposte alle app legittime: schermate di riavvio o barre di avanzamento che sembrano appartenere al sistema operativo, ma che difatti non lo sono. Sono costruite dallo spyware per mascherare le proprie azioni.

Nell'andare a spiare le chat WhatsApp, ad esempio, Morpheus avvia in background la procedura di collegamento a un nuovo dispositivo. Quando l'app richiede la verifica tramite impronta digitale, lo spyware mostra un falso messaggio di sistema: l'utente crede di autorizzare un aggiornamento, ma in realtà sta concedendo a Morpheus pieno accesso alle proprie conversazioni private. Potete vedere un esempio di come questo avviene guardando la riproduzione della seguente GIF.

Come difendersi dallo spyware commerciale italiano

Compresa l’insidiosità di Morpheus, vediamo cosa fare per difendersi dallo spyware. Due sono le regole fondamentali da tenere sempre ben a mente. La prima riguarda l’installazione delle app: mai acconsentire al download di app dalla dubbia affidabilità. Se sospettate di essere già caduti vittima di uno spyware come Morpheus, provate a fare mente locale seguendo le indicazioni degli stessi ricercatori di Osservatorio Nessuno:

Ricordate se c'è stato qualcosa di insolito: un messaggio inaspettato, una telefonata o un'interruzione del servizio. Qualcuno vi ha chiesto di installare un software, cliccare su un link o condividere le vostre credenziali? Qualcuno dei vostri contatti ha ricevuto una notifica da Signal o WhatsApp relativa a un cambio di dispositivo?

Dopo aver appurato questi fatti, potrebbe essere utile verificare i dispositivi che risultano collegati al vostro account WhatsApp (dalla sezione Impostazioni/Tu > Dispositivi collegati) e all’account Google (dalla sezione Sicurezza e accesso > I tuoi dispositivi). In questo modo si possono individuare sessioni sospette e fare il logout da queste.

Un altro fattore da tenere d’occhio, secondo i ricercatori di sicurezza già menzionati, riguarda il consumo anomalo della batteria: un calo improvviso dell'autonomia, in assenza di un utilizzo intenso del telefono e di una batteria già logora, può indicare un'attività non autorizzata che è in corso in background.

non perderti questo articolo

Cos’è uno spyware, come attacca, come difendersi ed eliminarlo