{"id":13108,"date":"2017-05-24T14:42:03","date_gmt":"2017-05-24T14:42:03","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=13108"},"modified":"2019-11-22T11:14:12","modified_gmt":"2019-11-22T09:14:12","slug":"ztorg-botnet","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/ztorg-botnet\/13108\/","title":{"rendered":"Trojan Ztorg: vi infetta per 5 centesimi"},"content":{"rendered":"

Tanti annunci pubblicitari su Internet propongono modi facili per fare soldi. Questi annunci tendono a indirizzarvi su siti sospetti (ad esempio, un post di una presunta madre di tre figli che sta a casa e guadagna diverse migliaia di dollari al giorno e che dice che anche voi potete fare la stessa cosa). Ma ci sono anche altri modi per guadagnare soldi in maniera facile che sembrano molto pi\u00f9 plausibili.<\/p>\n

Ad esempio, alcuni servizi si offrono di pagarvi per installare alcune app. La somma di denaro \u00e8 di pochi spiccioli (circa 5 centesimi per ogni app) ma il lavoro \u00e8 abbastanza facile, quindi alcune persone lo trovano addirittura allettante. Questo sistema \u00e8 abbastanza conosciuto tra i ragazzi (installa 50 app e ottieni 2,50 dollari per comprare qualche attrezzatura per il tuo personaggio preferito di un gioco online).<\/p>\n

Lo store delle app di Google Play ha parecchie applicazioni che sono in realt\u00e0 scambi di app. Ne scaricate una, la installate, vedete una lista di app per cui venite pagati, scaricate un paio di app della lista, le installate, le usate per qualche minuto e guadagnate!<\/p>\n

Tutto questo sembra essere alquanto noioso (e legittimo). \u00a0In effetti, molti sviluppatori di software danno un grande valore al numero di download delle app e un sistema del genere aumenta quel numero, anche se non \u00e8 proprio reale. Ecco perch\u00e9 gli sviluppatori sono disposti a pagare per questo. Non sembra che tutto questo sia un problema. O lo \u00e8?<\/p>\n

Denaro per niente, malware gratuito<\/strong><\/h2>\n

Ovviamente il problema c\u2019\u00e8, altrimenti perch\u00e9 ne parleremmo? Sembra che, tra le altre cose, questi scambi di app vi invitano a scaricare malware, in particolare il famigerato Trojan Ztorg<\/a>. Si tratta del Trojan scaricato 500.000 volte da Google Play camuffato da guida per il famoso gioco Pokemon Go<\/a>.<\/p>\n

La guida per Pokemon Go non \u00e8 l\u2019unica app che contiene Ztorg. Roman Unuchek, l\u2019esperto di Kaspersky Lab che ha scoperto Ztorg nell\u2019app, ha esaminato per diversi mesi le applicazioni diffuse tramite questi scambi<\/a>. Unuchek ha scoperto che ogni mese apparivano nuove app che in realt\u00e0 nascondevano Ztorg.<\/p>\n

Cosa fa in realt\u00e0 Ztorg<\/strong><\/h3>\n

Tutte queste applicazioni hanno due cose in comune. In primo luogo, il loro numero di download cresce velocemente (decine di migliaia al giorno). In secondo luogo, se cercate le recensioni degli utenti sullo store di Google Play, molti affermano che le persone hanno scaricato quelle app per soldi, crediti, bonus o per qualcosa del genere.<\/p>\n

\"One<\/a><\/p>\n

Il Trojan Ztorg non \u00e8 cambiato. Dopo la sua installazione, raccoglie informazioni sul sistema e sul dispositivo e le invia al server command-and-control (C&C). Il server risponde con file che attivano il malware per ottenere l\u2019accesso come root al dispositivo; dopo tutto questo, i criminali sono liberi di fare\u00a0ci\u00f2 che vogliono: mostrare annunci pubblicitari, scaricare altri Trojan o fare qualsiasi altra cosa.<\/p>\n

Ztorg si diffonde anche tramite annunci pubblicitari. Cliccate su un banner e scaricate l\u2019app, la installate e vi infettate. Molto semplice!<\/p>\n

La cosa interessante \u00e8 che Ztorg mostra alle sue vittime annunci dalle stesse identiche reti da cui si diffonde. Le reti sono legittime: molte altre applicazioni le usano per provare a monetizzarsi. Quello che \u00e8 accaduto \u00e8 che i responsabili della sicurezza delle reti non avevano capito di star facendo pubblicit\u00e0 a un malware.<\/p>\n

Ad essere sinceri, gli sviluppatori di Ztorg hanno nascosto la funzionalit\u00e0 pericolosa e questa non si nota quando si analizza l\u2019app. Ad esempio, Ztorg valuta il suo ambiente e non si avvia in un sandbox (ambiente di test).<\/p>\n

Molti banner che pubblicizzano malware non reindirizzano direttamente alla pagina di download dell\u2019app ma piuttosto rimandano gli utenti ad una pagina che reindirizza ad un\u2019altra pagina e poi a un\u2019altra. Unuchek ne ha contate 27 prima che riuscisse finalmente ad avviare il download. Inoltre, l\u2019app pu\u00f2 ritardare il download dei file dannosi dal server C&C fino a 90 minuti (in quel periodo di tempo, un tester avrebbe probabilmente deciso che l\u2019app non stava facendo nulla di pericoloso).<\/p>\n

In realt\u00e0, le applicazioni pericolose hanno avuto accesso per un anno e mezzo allo store ufficiale di Google Play grazie a questo trucchetto dell\u2019offuscamento. Anche altri Trojan si nascondono l\u00ec (abbiamo gi\u00e0 parlato dell\u2019argomento<\/a>, pi\u00f9 di una volta), quindi non dovreste fidarvi ciecamente di tutte le applicazioni degli store.<\/p>\n\n

Morale della favola<\/h3>\n

Come potete evitare di essere vittime di attacchi del genere e di permettere ai criminali di accedere al vostro telefono? Abbiamo due consigli per voi:<\/p>\n