GOOGL$317.25+5.12%

Infectarea a peste 2,3 milioane de dispozitive prin Google Play ridică riscul de fraudă și costuri operaționale pentru utilizatori și companii, după ce aplicații aparent legitime au livrat malware-ul „NoVoice” direct din magazinul oficial, potrivit antena3.ro. Miza practică: compromiterea poate ajunge până la accesarea datelor sensibile, inclusiv din aplicații bancare, iar în unele cazuri eliminarea completă a infecției poate fi dificilă.

Malware-ul a fost identificat de cercetătorii McAfee, iar aplicațiile afectate au fost ulterior raportate și eliminate de Google. Autorii nu au fost identificați oficial, însă comportamentul este descris ca fiind similar cu cel al unor grupuri cunoscute, ceea ce a generat avertismente suplimentare pentru utilizatorii Android.

De ce contează: atac „din interior” și control extins asupra telefonului

Spre deosebire de scenariile obișnuite, în care infectarea vine din instalări din surse externe, de această dată aplicațiile au ajuns în Google Play ca jocuri, aplicații de „curățare” sau galerii foto și funcționau normal la prima vedere. Codul malițios era ascuns și se activa după instalare, ceea ce i-a permis să treacă de verificările inițiale.

După deschidere, malware-ul rula în fundal și încerca să exploateze vulnerabilități mai vechi din Android, corectate în intervalul 2016–2021. Dacă obținea acces complet, își ascundea componentele în pachete care păreau legitime și încărca în memorie cod malițios mascat în fișiere aparent inofensive.

Ce poate face „NoVoice” pe un dispozitiv compromis

Odată activ, malware-ul colectează date despre dispozitiv (detalii hardware, versiunea Android, aplicațiile instalate și statutul de securitate) și le trimite către un server de comandă și control, repetând procesul la fiecare 60 de secunde, împreună cu primirea de instrucțiuni noi.

După compromitere, capabilitățile descrise includ:

• instalarea și ștergerea de aplicații fără știrea utilizatorului;
• repornirea telefonului pentru reactivarea componentelor;
• furt de date din aplicații precum WhatsApp și acces la informații sensibile, inclusiv din aplicații bancare;
• în cazul WhatsApp, extragerea de date suficiente pentru clonarea contului pe alt dispozitiv.

Publicația notează și un element operațional important: pentru persistență, malware-ul poate instala scripturi în zone greu accesibile ale sistemului, iar în unele situații nici resetarea la setările din fabrică nu îl elimină complet.

Cine este cel mai expus și ce semne pot apărea

Potrivit Google, dispozitivele actualizate după mai 2021 sunt protejate, deoarece vulnerabilitățile exploatate au fost corectate. Cele mai expuse rămân telefoanele mai vechi, care nu mai primesc actualizări de securitate.

Printre semnele menționate că un telefon ar putea fi infectat:

• consum neobișnuit de baterie;
• reporniri neașteptate;
• aplicații care dispar și reapar singure.

În astfel de cazuri, recomandarea este ca dispozitivul să fie deconectat de la internet și verificat de un specialist.