Non si può certo dire che la settimana in corso sia iniziata propriamente bene, quanto a sicurezza, per Android, finito di nuovo al centro delle polemiche per la scoperta di un diffuso launcher colabrodo quanto a privacy, di un’app che non è quella che si suppone essere, e di un’altra applicazione che esegue inopportune attività in background.
Un nome che si sta facendo strada, in senso negativo, quanto ad affidabilità, è quello della software house cinese Cheetah Mobile, già attenzionata a fine anno, quando la società d’analisi americana Kochava Inc. scoprì che diverse applicazioni popolari messe a disposizione da CM attuavano una frode pubblicitaria, a danno degli inserzionisti, e degli utenti mobili, visto che generavano diversi click fittizi, in background, sulle ads, stressando il processore e la batteria degli smartphone, consumandone anche il traffico dati. A seguito di un’indagine dalla quale emerse come fosse stata la stessa software house cinese a sviluppare la componente SDK accusata del problema emerso, le sue app coinvolte vennero rapidamente rimosse dal Play Store.
Qualcosa del genere potrebbe capitare anche al popolare CM Launcher 3D della medesima società asiatica, almeno dopo la pubblicazione, su Twitter, di quanto scoperto dal ricercatore Till Kottmann: quest’ultimo, analizzando il codice del summenzionato launcher scaricato dallo store di Google, ne ha seguito l’invio dei file verso un server Amazon, scoprendo che, in esso, erano conservati in chiaro diversi dati dell’utente (relativi a questa, ma anche ad altre app di Cheetah Mobile), quali le icone delle app installate, i temi adoperati, gli sfondi usati per il drawler e la schermata di blocco, etc. Il tutto con la conseguenza che un malintenzionato, accedendo al cloud in oggetto, e modificandovi i file JSON del launcher, avrebbe potuto scatenare diversi problemi sugli smartphone connessi, tra cui l’installazione massiva di software malevolo, o il crash (inteso come blocco e riavvio anomalo) dell’app stessa.
Nell’attesa che Cheetah Mobile e Google si pronuncino sulla questione, non v’è da annoiarsi, dacché una nuova problematica è sorta all’orizzonte, dopo una segnalazione fatta da Lukas Stefanko, ricercatore presso la software house slovacca ESET, realizzatrice del noto antivirus Nod32. A quanto pare, a inizio Maggio, nel Play Store venne pubblicata un’app col nome di “Trezor Mobile Wallet” che, celata dietro un falso sviluppatore, prometteva agli utenti di far creare dei portafogli virtuali per gestire varie criptovalute, proprio come l’app Trezor originale. Il clone in questione, nel giro di qualche settimana, è divenuto piuttosto popolare tanto che, scaricato oltre 1.000 volte, è balzato al secondo posto nelle query di ricerca, appena dietro l’app legittima: per fortuna, Google – in questo caso – è intervenuta prontamente con la rimozione, limitando la portata del problema, sostanziato nel furto di credenziali di accesso a vari portafogli criptomonetari.
Anche la truffa scovata da Upstream, tramite il proprio laboratorio di sicurezza (Secure-D), sembra volta ad arricchire i criminali 2.0 alle spalle dell’applicazione VidMate: quest’ultima, ormai rimossa dal Play Store, ma ancora disponibile su market alternativi (come Aptoide, ove viene valutata come sicura), offriva la visione delle TV live, e la possibilità di scaricare i video da varie fonti (es. Dailymotion, e YouTube). Secondo quanto riscontrato, dietro tale paravento, VidMate cliccava a manetta, in background ed all’insaputa dell’utente, su dei banner invisibili, ottenendo dei remunerativi click sugli stessi e, in più, in diversi casi accertati (almeno 128 milioni, da 4.8 milioni di device), ottemperava a delle transazioni indesiderate, anche senza aver ottenuto preventivamente alcuna autorizzazione da parte dell’utente.