L'app TV gratuita di quella pubblicità su Facebook consegna il tuo telefono a qualcun altro

L'annuncio sembrava uno dei mille: un'app gratuita per guardare canali TV, in spagnolo, con un grande pulsante di download. Dietro c'era StreamRat, un nuovo trojan Android che i ricercatori di ThreatFabric hanno descritto il 2 settembre e Malwarebytes ha approfondito il giorno dopo. La libreria inserzioni di Meta mostra che circa 570.000 account nell'UE hanno visto i banner tra l'11 giugno e il 3 luglio, e le stesse creatività sono girate su TikTok. Quasi tutte le vittime osservate erano in Spagna.

La parte astuta non è il malware, è l'accompagnamento. Il sito di download controlla che tu sia su Android prima di mostrare qualcosa, poi offre un file chiamato app.apk e ti guida, passo dopo passo, ad attivare "installa da origini sconosciute" e a concedere all'app l'accesso Accessibilità. Ogni avviso di Android viene spiegato come una normale parte della configurazione. Una volta concessa l'Accessibilità, StreamRat può leggere ciò che c'è sullo schermo, registrare ciò che digiti, sovrapporre una falsa pagina di accesso alla tua vera app bancaria, bloccare lo schermo con un finto messaggio di "aggiornamento" mentre qualcun altro usa il telefono, e controllare il dispositivo da remoto senza che tu lo veda.

La regola che avrebbe fermato tutto è breve: un sito che ti insegna a superare un avviso di sicurezza è l'avviso. Le app vengono da Google Play, punto, e nessuna app di streaming ha bisogno del permesso Accessibilità. Se hai installato qualcosa del genere, rimuovilo, poi cambia le password di banca ed e-mail da un altro dispositivo, perché il telefono potrebbe essere ancora osservato.

Lo stesso trucco esiste su Windows, dove una pagina di download spiega come cliccare oltre SmartScreen. Il controllo Sicurezza di Tendvane cerca il software indesiderato che tende ad arrivare così, ma non rimuove malware; quello è compito del tuo antivirus.