Triada, il malware più avanzato mai apparso su Android

Oggigiorno esistono decine di piccoli trojan per Android capaci di ottenere automaticamente i permessi di root ed infettare in questo modo il dispositivo con moltissima pubblicità ed applicazioni indesiderate. Questi trojan potrebbero tuttavia essere facilmente utilizzati per portare all’interno del sistema alcuni malware decisamente più pericolosi. Ed è esattamente quel che è successo con Triada: scoperto recentemente dagli esperti di sicurezza di Kaspersky, si tratta di uno dei virus più subdoli e tecnologicamente avanzati mai apparsi su Android!

Come funziona Triada?

Una volta scaricato ed installato all’insaputa dell’utente, Triada raccoglie automaticamente un gran numero di informazioni sul sistema, come ad esempio il modello del dispositivo, la versione del sistema operativo, la lista delle applicazioni presenti in memoria e molto altro. Questi dati vengono poi inviati ad un server di controllo. I ricercatori di Kaspersky ne hanno individuati ben 17 suddivisi su quattro domini differenti.

Il server di controllo risponde trasmettendo al cellulare un file di configurazione, contenente un numero di identificazione unico per quel dispositivo ed un gran numero di impostazioni, come ad esempio la lista dei moduli da scaricare ed installare. Una volta completato il processo, qualsiasi informazione su Triada viene immediatamente spostata sulla memoria a breve termine ed eliminata.

Triada risulta particolarmente complesso da individuare poiché riesce addirittura ad alterare Zygote, uno dei processi alla base di Android, utilizzato dal sistema operativo per la gestione delle applicazioni. Questo rende il trojan parte integrante di qualsiasi strumento o programma lanciato sul dispositivo infetto. Inoltre nasconde tutti i propri moduli dalla lista dei processi e delle applicazioni installate.

Ma queste ovviamente non sono le uniche funzioni di sistema modificate da Triada, che altera tutti gli SMS in uscita e filtra quelli in arrivo. Alcune applicazioni infatti per confermare gli acquisti fanno affidamento proprio sugli SMS, attraverso i quali i dati di transizione possono essere velocemente trasferiti con dei brevi messaggi testuali.

Triada modifica automaticamente questi messaggi, facendo in modo che i pagamenti non vengano inviati allo sviluppatore dell’applicazione bensì ai creatori del malware. Al momento si tratta dell’unica maniera grazie alla quale i criminali riescono a generare dei profitti dalla propria creazione. Ma essendo un trojan modulare, Triada può essere modificato in qualsiasi momento con una semplice linea di comando sul server di controllo.

Fonte