Gli utenti ricorrono spesso a versioni modificate di terze parti delle app di messaggistica più diffuse per aggiungere ulteriori funzioni. Tuttavia, alcune di queste mod, pur migliorando le funzionalità, nascondono anche malware. Kaspersky ha identificato una nuova mod di WhatsApp che non solo offre funzionalità aggiuntive, come messaggi programmati e opzioni personalizzabili, ma contiene anche un modulo spyware dannoso.
Con una portata che ha superato le 340.000 unità neo solo mese di ottobre, questo malware colpisce a livello mondiale, in particolare, gli utenti di lingua araba e azera.
La minaccia è emersa recentemente, diventando attiva a metà agosto 2023.
La nuova versione dannosa di Whatsapp si sta diffondendo poi all’interno di un altro popolare servizio di messaggistica, Telegram.
Due componenti sospetti non presenti nella versione originale
Se da un lato la modifica ha lo scopo di migliorare l’esperienza dell’utente, dall’altro raccoglie illegalmente informazioni personali dalle vittime.
Il file manifest del client WhatsApp modificato include infatti componenti sospetti, un servizio e un ricevitore di trasmissione, non presenti nella versione originale.
Il ricevitore avvia una funzionalità, lanciando il modulo spia quando il telefono è acceso o in carica. Una volta attivato, l’impianto dannoso invia una richiesta con informazioni sul dispositivo al server dell’aggressore. Questi dati comprendono l’IMEI, il numero di telefono, i codici del Paese e della rete e altro ancora.
La diffusione nei canali di Telegram
Ma l’impianto dannoso trasmette anche i contatti e i dettagli dell’account della vittima ogni cinque minuti, oltre a impostare registrazioni del microfono e esfiltrare i file da una memoria esterna.
Inoltre, la versione dannosa si è diffusa attraverso popolari canali Telegram, che in alcuni casi contano quasi due milioni di iscritti.
I ricercatori di Kaspersky hanno avvisato Telegram del problema.
Azerbaigian, Arabia Saudita, Yemen, Turchia ed Egitto hanno registrato il più alto numero di attacchi. E sebbene la maggior parte degli utenti sia di lingua araba e azera, il fenomeno interessa anche Stati Uniti, Russia, Regno Unito, Germania e altri Paesi.
Il Trojan-Spy.AndroidOS.CanesSPy
“Le persone si fidano delle app provenienti da fonti molto seguite, ma i truffatori sfruttano proprio questa fiducia – commenta Dmitry Kalinin, Security Expert di Kaspersky -. La diffusione di mod dannose attraverso popolari piattaforme di terze parti evidenzia l’importanza di utilizzare client IM ufficiali. Tuttavia, se avete bisogno di alcune funzioni extra non presenti nel client originale, dovreste considerare l’impiego di una soluzione di sicurezza affidabile prima di installare software di terze parti, in modo da evitare la compromissione dei vostri dati. Per una protezione efficace, è consigliabile scaricare sempre le applicazioni da app store o siti Web ufficiali”.