Antidot: il malware Android che si finge un aggiornamento

Tra le minacce che colpiscono i dispositivi Android, quelle che riescono meglio non sfruttano un difetto del sistema operativo: sfruttano una funzione progettata per essere concessa. Antidot appartiene a questa categoria. È un malware bancario individuato dai ricercatori di Cyble, e la sua caratteristica non è la sofisticazione del codice ma la messinscena: si presenta come un aggiornamento proveniente dal Play Store, completo di pagine di changelog tradotte in più lingue europee.

Il meccanismo merita attenzione per una ragione che va oltre il singolo malware. Antidot non ha bisogno di superare una difesa tecnica, ha bisogno che una persona conceda un permesso. E il permesso che chiede è lo stesso che chiedono quasi tutti i trojan bancari per Android degli ultimi anni, il che rende questo caso utile a riconoscere l’intera famiglia.

1. Che cos’è Antidot e come si presenta
2. Come ottiene il controllo del dispositivo
3. Che cosa può fare una volta attivo
4. Perché riguarda anche l’azienda
5. Dove si ferma un attacco di questo tipo

Che cos’è Antidot e come si presenta

Antidot è un malware bancario per Android, appartenente alla stessa famiglia di minacce di cui fa parte Nexus e altri trojan comparsi negli anni precedenti. L’obiettivo è quello classico del comparto: sottrarre le credenziali di accesso ai servizi bancari, impiegando tra le altre cose tecniche di registrazione di quanto viene digitato.

Ciò che lo distingue è il travestimento. Anziché presentarsi come un’applicazione qualsiasi, Antidot imita un aggiornamento di un’applicazione legittima già presente sul dispositivo, riproducendo l’aspetto delle schermate di aggiornamento del Play Store. La messinscena include pagine di note di rilascio e numeri di versione tradotti in tedesco, francese, spagnolo, russo, portoghese e romeno, e quella selezione linguistica indica dove l’operazione è stata effettivamente diretta: l’Europa, non genericamente il mondo.

La scelta non è casuale nemmeno sul piano tecnico. Un utente diffida di un’applicazione sconosciuta, ma non di un aggiornamento di qualcosa che usa già: la richiesta arriva in un contesto che sembra ordinario, ed è proprio quel contesto a ottenere il consenso che il malware ha bisogno di ricevere.

Come ottiene il controllo del dispositivo

Il passaggio decisivo dell’intera catena è uno solo. Dopo l’installazione, Antidot chiede l’accesso ai **servizi di accessibilità** del sistema operativo, giustificando la richiesta come necessaria al funzionamento dell’applicazione a cui si è sostituito.

I servizi di accessibilità esistono per una ragione legittima: permettere a chi ha difficoltà motorie o visive di usare il dispositivo attraverso software che legge il contenuto dello schermo e agisce al posto dell’utente. Sono, per costruzione, il permesso più potente che un’applicazione Android possa ottenere. Concederli a un’applicazione ostile significa consegnarle la capacità di vedere tutto ciò che appare e di premere qualunque cosa, comprese le autorizzazioni successive che si concede da sé.

È il motivo per cui, fino a quel momento, il codice malevolo è praticamente inerte, e da quel momento non esiste più una difesa applicativa che lo contenga. Ottenuto il permesso, il malware stabilisce un collegamento con un server di comando e controllo gestito dagli operatori, che da quel punto in avanti impartiscono istruzioni al dispositivo come se lo avessero in mano.

Che cosa può fare una volta attivo

Le capacità documentate dai ricercatori descrivono un controllo pressoché totale, e vale la pena elencarle perché mostrano quanto sia difficile porre rimedio dopo.

1. Sovrapposizione di schermate false. Il malware trasmette l’elenco delle applicazioni installate, gli operatori individuano quelle di interesse e inviano una pagina di accesso contraffatta che viene mostrata sopra l’applicazione reale. L’utente inserisce le credenziali in una schermata che sembra la propria banca e non lo è.
2. Registrazione di quanto viene digitato e di quanto compare sullo schermo, che rende inefficace qualsiasi accortezza sulla scelta della password.
3. Raccolta dei contenuti di rubrica, messaggi e conversazioni, materiale che alimenta successive manipolazioni basate su informazioni verosimili.
4. Inoltro delle chiamate in ingresso e gestione autonoma dei codici di servizio dell’operatore telefonico, quelli che si usano normalmente per verificare il credito o attivare opzioni di linea.
5. Controllo remoto del dispositivo attraverso componenti dedicati, con la possibilità di operare mentre lo schermo mostra qualcosa d’altro.

L’ultimo punto è quello che cambia la natura del problema. Un malware che sottrae credenziali costringe l’attaccante a usarle altrove, dove i controlli antifrode possono accorgersene; un malware che opera dal dispositivo della vittima compie l’operazione dal luogo giusto, con il dispositivo giusto, e questo rende i controlli basati sul riconoscimento dell’apparato molto meno utili.

Perché riguarda anche l’azienda

Un malware bancario sembra un problema privato di chi lo installa, e lo rimane soltanto se quel telefono non tocca niente di aziendale. Nella maggior parte delle organizzazioni italiane non è così: sullo stesso dispositivo convivono le applicazioni personali, la posta di lavoro, i documenti condivisi e talvolta le credenziali per accedere a portali aziendali.

Applicate a quel contesto, le capacità descritte sopra cambiano di significato. Chi legge lo schermo e le notifiche vede anche la corrispondenza di lavoro e i codici di verifica temporanei che proteggono gli account aziendali, che è il modo in cui un secondo fattore basato su messaggio viene aggirato senza toccare i sistemi dell’azienda — una delle ragioni per cui, nella scelta dei metodi di autenticazione a più fattori, l’SMS è considerato il fattore più debole tra quelli disponibili.

È una superficie che quasi nessuna organizzazione censisce, perché i dispositivi sono di proprietà personale e non compaiono in alcun inventario. Il risultato è che una parte dei dati aziendali risiede su apparati di cui l’azienda non conosce né la configurazione né le applicazioni installate, e chi ha già affrontato una compromissione di credenziali sa quanto sia lungo il percorso di rientro: su questo abbiamo raccolto alcune indicazioni per contenere il rischio di esposizione.

Dove si ferma un attacco di questo tipo

Il punto in cui Antidot può essere fermato è uno, e viene prima di qualsiasi strumento di protezione: la richiesta di accesso ai servizi di accessibilità. Nessuna applicazione bancaria, nessun aggiornamento di sistema e nessuna utilità di uso comune ha una ragione legittima per richiederli. Una richiesta di quel tipo, presentata come necessaria al funzionamento di qualcosa che avete appena installato, è il segnale su cui fermarsi — e lo stesso vale per il permesso di leggere le notifiche, che consente di intercettare i codici di verifica.

Il secondo elemento riguarda la provenienza. Antidot si presenta come un aggiornamento del Play Store ma non arriva dal Play Store, e gli aggiornamenti reali non compaiono mai come richieste di installazione dopo una navigazione o un messaggio ricevuto. Un pacchetto scaricato al di fuori degli store ufficiali non passa da alcun controllo, e disattivare il blocco delle installazioni da origini sconosciute è la premessa di tutta la catena: sul rapporto tra permessi concessi alle applicazioni e rischio effettivo abbiamo scritto in modo più esteso.

Le altre misure sono utili ma successive. Mantenere attivo il controllo integrato del sistema operativo, applicare gli aggiornamenti quando è il dispositivo a proporli, rimuovere le applicazioni che non usate più perché conservano i permessi ottenuti, rivedere ogni pochi mesi quali applicazioni dispongono dei permessi più delicati. Nessuna di queste, però, interviene dopo che l’accesso è stato concesso: a quel punto la strada è la disconnessione del dispositivo dalle reti e dagli account aziendali, seguita dal ripristino.

In conclusione

Antidot indica una direzione più interessante del singolo malware. L’attacco non sfrutta una vulnerabilità del sistema operativo, sfrutta una funzione legittima e una decisione presa da una persona in pochi secondi. Non esiste un aggiornamento che chiuda quella porta, perché la porta è progettata per aprirsi quando qualcuno lo chiede.

È il motivo per cui su questo fronte la differenza tra un attacco che va a segno e uno che si ferma dipende dalla capacità di riconoscere una richiesta anomala nel momento esatto in cui compare. Le difese tecniche agiscono prima o dopo, quasi mai in quell’istante.