Nel mondo degli aggiornamenti relativi al firmware Android, dominato dai Google (con i Pixel), OnePlus, ed Essential, non si può certo dire che Samsung brilli per solerzia, sia quanto a security update che, soprattutto, nell’aggiornare alle più recenti versioni del robottino verde. Capita, infatti, che molto utenti – smanettoni – decidano di scaricare da sé il firmware da flashare sullo smartphone, mentre altri – meno avvezzi a simili esperimenti, o per non invalidare la garanzia in essere – optino per soluzioni “tutto-compreso” realizzate da terze parti. In tal caso, però, occorre fare attenzione, come evinto dall’episodio di sicurezza digitale appena emerso.
Qualche giorno fa, infatti, nel corso di alcune analisi effettuate presso i laboratori della security house danese CSIS Security Group, il cacciatore di malware Alephsejs Kuprins ha scoperto un comportamento alquanto anomalo da parte della popolarissima (più di 10 milioni di download) applicazione, “Aggiornamenti per Samsung – Versioni di Android” che, a fronte del nome, si propone come sistema per cercare gli aggiornamenti anche di altri brand, ed hub per fornire informazioni e consigli sul mondo androidiano in generale.
L’applicazione, realizzata dalla californiana UPDATO, specializzata anche nello sbloccare ogni possibile marca e modello di smartphone, una volta installata compie effettivamente il proprio dovere, trovando – un po’ a fatica dati i tanti annunci pubblicitari visualizzati – quanto desiderato dall’utente. Il problema, però, viene dopo, quando si punta al download del firmware ambito.
In questo caso, l’utente viene praticamente indirizzato verso un download a pagamento, dal costo di 34.99 dollari annuali, per accedere al programma di aggiornamenti (anche 5 al giorno) di UPDATO, visto che – tentando la strada del download gratuito – si va incontro a limiti, palesi e non: tra i primi, una velocità di download da era pre-ADSL (56 kb/s), con la conseguenza che un aggiornamento da 700 MB si completa in 4 ore mentre, tra i secondi, spicca la circostanza che porta, quasi sempre, anche con una Rete stabile, al fallimento del download.
Secondo Kuprins, l’applicazione incriminata risulterebbe essere presente (ancora oggi) sul Play Store di Google sin dal 2013, nonostante i tanti controlli di Google (50 miliardi di app giornaliere revisionate nel solo mese di Maggio) e in modo illegale visto che, da una parte millanterebbe un’inesistente affiliazione con Samsung, della quale menzionerebbe il vecchio tool di sincronia e aggiornamento Kies, e dall’altra – per il pagamento – userebbe un API endpoint (o risorsa) esterna in quanto situata sul dominio updato.com. Tra l’altro, è bene notare come la creazione di UPDATO tenda a finalizzare le transazioni (anche quella da 19.99 dollari per sbloccare il telefono) non col wallet interno del Play Store, più sicuro, ma mediante la richiesta della carta di credito.