Diffondiamo:
Nell’ultimo periodo abbiamo visto un aumento nell’utilizzo di spyware contro politici, aziende, avvocati e attivisti. Abbiamo motivo di credere che simili dispositivi si stiano diffondendo anche nel corso di indagini condotte contro individui associati a determinate aree di movimento. Probabilmente sta diventando sempre più facile per le procure affidarsi a start-up esterne per dotarsi di software, non necessariamente sofisticati e costosi come i noti Pegasus, Predator, Graphite o Triangulation (che utilizzano exploit di tipo zero-day con modalità zero-click), ma che svolgono ugualmente la loro infame funzione di raccogliere informazioni riguardanti l’attività del malcapitato senza il suo consenso.
Di recente alcuni compagni hanno subito un’intrusione sui propri dispositivi mobili. Innanzitutto hanno improvvisamente e inspiegabilmente riscontrato l’assenza di connettività internet e telefonica. Contestualmente tutte le telefonate in uscita venivano deviate al centralino dell’operatore telefonico (o questo veniva contattato volontariamente per avere spiegazioni). In ogni caso, dopo la telefonata con l’assistente che, ignaro o ignavo, segnalava probabili problemi di campo, venivano subito ricontattati dallo stesso numero ma da una persona diversa e sedicente tecnico dell’operatore telefonico. Questo segnalava, invece, il mancato aggiornamento del telefono e dettava, con gentilezza e precisione, tutte le operazioni da eseguire per ristabilire le funzionalità, facendo installare un app con il nome e il logo dell’operatore associato alla scheda telefonica.
Riportiamo i passaggi dell’installazione, da cui si può desumere il grado di intrusività dell’app installata:
– Per prima cosa viene fatta disattivare l’analisi delle app di Play Protect su Playstore, che serve a proteggere il dispositivo da app potenzialmente dannose e a garantire che le app installate siano sicure e affidabili.
– Arriva un SMS con il link ad una pagina simile al sito dell’operatore telefonico. Qui si viene indotti a cliccare su un bottone graficamente simile a quello di Google Play per scaricare l’”aggiornamento”.
– Il file viene in realtà scaricato bypassando il Playstore, e aperto dai downloads nonostante gli avvisi da parte del telefono, che vengono tutti fatti skippare. Per completare l’installazione vengono fatte modificare le impostazioni del telefono per consentire l’installazione di app da questa sorgente.
– Dalle impostazioni del telefono viene dato l’accesso alla rete mobile che consente di usare la connessione dati dell’operatore telefonico per inviare e ricevere informazioni.
– Viene dato il consenso all’esecuzione dell’app in background in modo che possa continuare a funzionare anche quando non è attiva sullo schermo, all’attività sullo sfondo, in modo che possa svolgere delle attività mentre è in background e all’avvio automatico, in modo che possa avviarsi all’accensione del telefono senza aprirla manualmente.
– Vengono dati tutti i permessi all’app, plausibilmente Fotocamera, Microfono, Contatti, Telefono, SMS, Calendario, Posizione, Archivio, etc.
– Sempre dalle impostazioni viene disattivata l’ottimizzazione della batteria per l’app in modo da non limitare l’attività per risparmiare energia.
– Il telefono è stato fatto riavviare e alla riaccensione è subito comparso il simbolino verde del microfono in alto a sinistra, poi diventato un punto verde e, infine, scomparso.
– Per chiudere in bellezza, è arrivato un SMS che chiedeva “Sei soddisfatto della mia gestione?”
Plausibilmente, attraverso queste operazioni, tutti i dati contenuti nel telefono(file, media, contatti, messaggi, etc.)sarebbero stati inoltrati ad un server remoto attraverso l’app (spyware) precedentemente installata con l’inganno e reso il telefono una vera e propria microspia mobile con possibilità di attivare il microfono, la fotocamera, la geolocalizzazione, fare screenshot dello schermo, etc.
Non è difficile immaginare l’origine di questa invasione, considerata l’identità delle persone colpite e le possibilità di chi ha attaccato. Invitiamo perciò a prestare attenzione a episodi di questo genere, nonostante non tutti i malware abbiano bisogno di essere attivamente installati dal proprietario del telefono come accaduto in questo caso.