La società di sicurezza informatica Kaspersky segnala di aver trovato nello store ufficiale per dispositivi Android (Google Play) oltre 20 app che fingono di essere modpack per Minecraft, ossia app che promettono di modificare il popolarissimo gioco in vari modi vantaggiosi per il giocatore.
In realtà gli unici a trarne vantaggio sono i creatori di queste app ingannevoli, perché una volta installate sugli smartphone delle vittime queste app si nascondono e iniziano a far comparire sullo schermo un fiume di pubblicità, i cui incassi vanno ai truffatori. Il telefono diventa spesso inutilizzabile e difficile da ripulire. Alcune di queste app sono state installate oltre un milione di volte, e non tutte sono state rimosse da Google Play dopo le segnalazioni.
Anche se venissero rimosse, comunque, c’è sempre il rischio che i truffatori le ripubblichino su Google Play con un altro nome.
La migliore cura è quindi la prevenzione generale: non installate app di provenienza incerta che promettono vantaggi mirabolanti. Ma se l’avete fatto, rimediate installando un buon antivirus che le trovi e le elimini.
Un’app molto popolare presente nello store ufficiale Android ha infettato i dispositivi sui quali veniva installata: si chiama CamScanner, e se l‘avete ospitata sul vostro tablet o smartphone probabilmente avete un problema e non siete i soli, visto che l’app è stata scaricata 100 milioni di volte.
CamScanner è stata a lungo un’app regolare, che consentiva di scansionare e gestire documenti facendo riconoscimento ottico e generando file PDF e si finanziava attraverso pubblicità e acquisti in-app.
Ma Kaspersky ha annunciato di aver scoperto che una versione recente di CamScanner contiene un componente che scarica vari altri componenti ostili che possono per esempio far comparire pubblicità indesiderate oppure abbonare le vittime a servizi a pagamento.
Kaspersky ha segnalato il problema a Google, che ha rimosso l’app da Google Play.
Chi ha installato quest’app farebbe bene a rimuoverla dal proprio dispositivo Android, che va poi analizzato con un antivirus aggiornato di un fornitore ben conosciuto.
Va chiarito che i creatori di CamScanner, la CC Intelligence di Shanghai, sono probabilmente incolpevoli: secondo le analisi tecniche, i componenti ostili provengono infatti da un modulo (libreria) di gestione delle pubblicità fornito da terzi, che sono presumibilmente i veri responsabili. I creatori dell’app hanno pubblicato un comunicato che avvisa del problema e include l’invito a scaricare e installare la versione aggiornata di CamScanner da un sito esterno a Google Play.
Maggiori dettagli sulla vicenda sono disponibili su Ars Technica e ZDNet.
I criminali informatici sono decisamente pieni di inventiva. Buzzfeed ha scoperto che su Google Play c’erano sei app che, una volta installate sugli smartphone degli utenti, cliccavano da sole sulle pubblicità, generando guadagni fraudolenti per i gestori di queste app, e mandavano in Cina i dati degli utenti.
I clic automatici nascosti sulle pubblicità avvenivano anche quando le app erano inattive, causando un aumento del traffico di dati e del consumo di batteria.
Le app sono state rimosse: si chiamavano Selfie Camera (che aveva da sola oltre 50 milioni di scaricamenti), Omni Cleaner, RAM Master, Smart Cooler, Total Cleaner e AIO Flashlight. Tutte erano legate allo sviluppatore di app cinese DU Group e avevano totalizzato oltre 90 milioni di download e quindi, presumibilmente, di installazioni.
Novanta milioni di smartphone che cliccano sulle pubblicità a insaputa degli utenti sono un esercito di cliccatori inconsapevoli che avrebbero potuto generare incassi fraudolenti enormi per i gestori della pubblicità, ma il loro piano è stato sventato.
Conviene, come sempre, evitare di installare app di fonte sconosciuta, anche se hanno milioni di download.
Immagine tratta da un video
promozionale di Dostupno.
Ieri (sabato) ho ricevuto una diffida, redatta da un avvocato, a nome dei creatori dell’app Dostupno: quella che ho raccontato qui.
L’aspetto tecnico interessante della diffida è che conferma esplicitamente l’esistenza di un “database” (questo è il termine tecnico usato nella diffida) che contiene perlomeno dei “numeri” (presumo di telefono degli utenti), cosa che stride parecchio, in termini di GDPR, con quelle “Norme sulla Privacy” costituite da un lorem ipsum (che sono state nel frattempo aggiornate e poi riportate al lorem ipsum, ma ormai è troppo tardi).
La diffida, in sintesi, chiede a me e altri di provvedere all’“immediato blocco di pubblicazione e cancellazione di notizie illegittimamente acquisite e pubblicate” e cita due articoli del codice penale italiano (articolo 615 bis, interferenza illecita nella vita privata, e articolo 595, diffamazione).
Ho risposto come segue:
Egregio Avv. [omissis], in risposta alla Sua comunicazione di diffida, le chiedo di chiarirne i contenuti, che ho trovato piuttosto criptici. Specificamente, con riferimento alle parole della diffida "immediato blocco di pubblicazione e cancellazione di notizie illegittimamente acquisite e pubblicate", Le chiedo di chiarire: 1. Che cosa intende per "blocco" 2. Da dove dovrebbe avvenire la richiesta "cancellazione" 3. Quali sarebbero, esattamente, le "notizie illegittimamente acquisite e pubblicate" Con riferimento alle ipotesi di "interferenza illecita nella vita privata" e "diffamazione", le chiedo di chiarire: 4. In cosa consisterebbe, specificamente, questa presunta "interferenza" 5. Quali sarebbero, specificamente, i contenuti diffamatori 6. Se lei e i suoi assistiti sono al corrente del significato del termine tecnico "effetto Streisand". Distinti saluti, Paolo Attivissimo
Vi terrò aggiornati. Intanto pubblico qui il contenuto delle “Norme sulla Privacy” di Dostupno, aggiornate guarda caso dopo il mio articolo. Questa versione è stata poi rimossa:
PRIVACY POLICY
Informativa Privacy
1. INTRODUZIONE
Per fornire il Servizio, è necessario prelevare lo stato del proprio dispositivo affinchè lo stesso possa ricevere i messaggi
La presente informativa contiene una descrizione delle tipologie di dati che verranno raccolti, delle finalità per le quali tali dati verranno trattati, dei soggetti ai quali essi potranno essere comunicati e fornisce ulteriori informazioni utili per permettere agli Utenti di prestare il proprio consenso informato al trattamento dei propri dati personali.
La presente Privacy Policy è stata redatta in conformità del GDPR ( Regolamento Europeo sulla Protezione dei Dati )
2. RACCOLTA DELLE INFORMAZIONI E CHIUSURA DELL'ACCOUNT
I dati vengono raccolti solo in fase di registrazione descritta nel paragrafo 2.1 che segue.
2.1 Registrazione
Nel processo di registrazione dei messaggi, sono richiesti dati quali il solo numero telefonico del dispositivo ( affinchè possa ricevere messaggi da altri utenti ).
2.2 Chiusura dell'account
Il gestore del Servizio potrà decidere di chiudere il suo account sull'App in qualsiasi momento.
In caso di chiusura del suo account per qualsiasi motivo i suoi dati personali saranno cancellati.
3. UTILIZZO DELLE INFORMAZIONI (FINALITA' E MODALITA'DEL TRATTAMENTO)
I dati raccolti dall'App vengono trattati per le seguenti finalità:
Offrire il Servizio, fare in modo che possa essere contattato;
Si precisa in particolare che:
I suoi dati verranno prevalentemente trattati con strumenti elettronici o comunque automatizzati.
5. COMUNICAZIONE E AMBITO DI DIFFUSIONE DEI DATI
I suoi dati personali non verranno comunicati a nessuno
I suoi dati personali, raccolti nell'ambito dell'utilizzo del Servizio, non saranno oggetto di diffusione.
2019/02/23 18:15
La mia mail all’avvocato è stata respinta:
Final-Recipient: rfc822; [omissis]@pecstudio.it
Action: failed
Status: 5.0.0
Remote-MTA: dns; mail.sicurezzapostale.it. (89.97.236.171, the server for the domain pecstudio.it.)
Diagnostic-Code: smtp; 554 <paolo.attivissimo@gmail.com> Sender address rejected by smtpproxy: Access denied
Last-Attempt-Date: Sat, 23 Feb 2019 08:31:58 -0800 (PST)
L’avevo comunque mandata in copia CC agli altri interessati citati nella mail di diffida.
Le norme-che-non-lo-sono di Dostupno contengono anche un banner pubblicitario variabile, cosa piuttosto bizzarra per una norma sulla privacy.
Il codice sorgente di questa pagina è ancora più interessante (ho sostituito i simboli di maggiore e minore con dei guillemet, ossia ‹ e ›, e lo riporto qui come blocco unico perché è così nell’originale): è davvero un bel po’ di codice per un semplice lorem ipsum.
Ma le indagini degli utenti di Reddit (in particolare questa e questa) hanno rivelato che Dostupno è davvero difficile da considerare come un concorrente di WhatsApp o, a dire il vero, di qualunque app di messaggistica: il suo funzionamento “anche senza connessione Internet” si basa sul far squillare il telefono del destinatario un certo numero di volte e consente di mandare soltanto dieci messaggi preimpostati. Conversazioni? Foto? Non se parla nemmeno.
Le indagini (proseguite anche qui) rivelano poi che Dostupno è un colabrodo dal punto di vista della sicurezza e della privacy: il database che contiene i messaggi preimpostati dai vari utenti è accessibile a chiunque e quindi chiunque può “recuperare l'intera lista di numeri registrati, nonché di messaggi scambiati tra gli utenti dell'app, tutto rigorosamente memorizzato in chiaro, senza alcun tipo di criptazione“, spiega Lo_acker. E per un’altra app legata a Dostupno ci sono anche le password salvate in chiaro e liberamente scaricabili.
Il database di Dostupno è risultato talmente accessibile e mal protetto che qualcuno lo ha cancellato.
Ma la cosa più interessante è la reazione dei due creatori di Dostupno: un comunicato stampa che è davvero difficile leggere senza chiedersi se abbiano mai visto o sentito parlare di un corso base di comunicazione al pubblico. Anche perché a dicembre 2018 i creatori avevano pubblicato un altro comunicato con frasi come “Le parole che trovano il luogo nelle idee di un gruppo di persone che lavora allo scopo di trasformare i sogni dalla realtà virtuale in quella reale, rendendo possibile l’impossibile ai limiti del surreale”.
E questo è solo l’inizio, perché i video di presentazione di Dostupno sono talmente malfatti e amatoriali, con audio distorto e incomprensibile, da rappresentare una nuova frontiera del kitsch informatico. Considerate per esempio Dostupno sempre con te ita (sic), che inizia con un cantante che per un minuto e 50 secondi... beh, guardate il video.
A 1:50 compare (non si capisce perché) una signorina in bikini, e poi si sente una voce registrata malissimo che dice “I messaggi sono gratuiti” con il tono di voce di qualcuno che si è appena svegliato o sta recitando sotto la minaccia delle armi. Il resto del video è altrettanto sconnesso, con la partecipazione di vari fruttivendoli. Non sto scherzando.
Oppure provate a guardare la “presentazione” dell’app: ventisei minuti di una persona ripresa in controluce che parla in modo incomprensibile a causa della registrazione pessima.
La qualità dell’audio e delle voci sembra essere un problema ricorrente dell’azienda IF Inspreifon che sta dietro a Dostupno: provate ad ascoltare le descrizioni sonore che trovate qui nella sezione “Chi siamo” del sito aziendale. A quanto pare un microfono decente e uno speaker non narcotizzato sono al di sopra del budget. L’inglese, poi, è particolarmente esilarante: meno male che si tratta di “Personale qualificato con conoscenza linguistica di tutto il mondo”.
Dovrebbe essere abbastanza ovvio, con premesse come queste, che non solo Dostupno non è l’anti-WhatsApp, ma è l’antitesi di ogni regola basilare di programmazione, di gestione della privacy e di professionalità. Se avete affidato a quest’app i vostri dati, è molto probabile che siano sparsi per tutta Internet insieme a quelli degli altri cinquantamila utenti che incautamente hanno installato quest’app davvero bizzarra.
Morale della storia: installare qualunque app di provenienza sconosciuta solo perché promette di far risparmiare è un pessimo modo di gestire i propri dati. Tenetelo a mente la prossima volta che qualcuno vi offre qualcosa gratis.
2019/02/23 17:20 Gli autori di Dostupno mi diffidano
Ho ricevuto via mail una diffida redatta da un avvocato che dichiara di rappresentare i due creatori di Dostupno. Trovate tutti i dettagli in questo mio articolo.
Qualunque videogiocatore, anche adulto, sa che mentre si gioca si perde completamente la cognizione del tempo. I genitori dei videogiocatori si trovano spesso obbligati a interrompere le sessioni di gioco dei figli, che non si accorgono del tempo che trascorrono incollati allo schermo di Fortnite e simili trascurando tutto il resto.
Per chi ha un iPhone o iPad recente e aggiornato ci sono per fortuna delle soluzioni integrate, come Tempo di Utilizzo (nella sezione Impostazioni), che permettono di definire una fascia oraria e un limite di tempo che valgono per tutti i giochi. Questa impostazione è bloccabile tramite un PIN e può anche essere estesa a tutti i dispositivi Apple di famiglia.
Tempo di utilizzo ha anche il grosso vantaggio di registrare quanto tempo viene speso in ogni app, in modo da dimostrare ai figli che sono davvero passate quattro ore da quando hanno detto “smetto fra cinque minuti”. I figli si potranno rifare chiedendo ai genitori di far vedere quanto tempo hanno speso loro su Facebook e Whatsapp.
Il percorso è questo: si va nell’app Impostazioni, si sceglie Tempo di utilizzo - Utilizza codice “Tempo di utilizzo” e si imposta un PIN. In Pausa di utilizzo si può decidere di bloccare il dispositivo (salvo chiamate e app consentite) per la fascia oraria definita. In Limitazioni app si sceglie Aggiungi limitazione di utilizzo - Giochi - Aggiungi e si impostare il tempo giornaliero fisso oppure un tempo differente per ogni singolo giorno.
Per chi invece ha Android c’è invece la possibilità di installare l’app Google Family Link, che funziona in modo analogo, come descritto in dettaglio qui e qui sul sito di Google.
Pochi giorni fa un genitore mi ha contattato chiedendo aiuto per risolvere il guaio causato dal figlio minorenne, che ha fatto acquisti non autorizzati all’interno di giochi trovati su Google Play, spendendo circa 200 franchi tramite la carta di credito dei genitori.
Il primo passo, sorprendentemente, è non annullare subito la carta di credito usata per gli acquisti. La carta va lasciata temporaneamente attiva per poter ricevere il rimborso.
Il passo successivo è verificare se gli addebiti passano tramite Google: lo si vede facilmente nell’estratto conto della carta, dove questi addebiti saranno prefissati dalla parola “GOOGLE” seguita dal nome dello sviluppatore dell’app, come mostrato in questo esempio:
GOOGLE*Deemedya INC
GOOGLE*Hutch
GOOGLE*BearbitStudios
GOOGLE *FluffyFairyGam
GOOGLE*Mobirate
GOOGLE*Halfbrick
GOOGLE*MyA
GOOGLE*Noodlecake
Se gli addebiti non sono prefissati da “GOOGLE”, non sono stati fatti all’interno di Google Play e occorre trovare un’altra strada, che dipende dall’identità indicata sull’estratto conto della carta di credito.
Una volte acquisite queste informazioni si può chiedere appunto un rimborso nella maniera descritta qui nelle pagine di supporto di Google, alla voce “Richiedi un rimborso sul sito web Google Play”, che serve proprio per i casi nei quali gli addebiti non sono stati causati intenzionalmente da un truffatore esterno ma sono stati prodotti per errore da un minore in famiglia.
Potete monitorare lo stato del vostro reclamo in questa pagina.
Per evitare altri incidenti di questo genere, conviene poi andare nel proprio account Google Play e togliere i dati delle propria carta di credito, usando invece le apposite carte prepagate.
Molti utenti Android pensano che se un’app è presente nel negozio ufficiale, ossia Google Play, sia stata controllata accuratamente e non possa essere pericolosa. Ma alcuni casi recenti dimostrano che non è così e che è meglio essere molto prudenti prima di installare qualunque app.
Naked Security, per esempio, segnala Star Hop e Candy Link, che sembrano giochini innocui ma in realtà nascondono software ostile che accende il Wi-Fi sul telefonino e bombarda gli utenti di pubblicità spazzatura. Queste app sono state scaricate circa 50.000 volte e dopo la scoperta del loro comportamento truffaldino sono state segnalate a Google.
Graham Cluley, invece, cita il caso di Judy, un software disseminatore di pubblicità (adware) annidato in una quarantina di app che nel corso di almeno un anno sono state scaricate da circa 36 milioni di utenti Android prima di essere rimosse da Google Play dopo la segnalazione degli esperti di sicurezza esterni.
Lo scopo di Judy è cliccare automaticamente sulle pubblicità, come se lo facesse l’utente, creando così incassi per i creatori di questo software.
Fra l'altro, si sa esattamente chi è il responsabile di questo software: una società coreana, Kiniwini, che su Google Play si fa chiamare Enistudio Corp.
Difendersi è abbastanza facile: basta installare un buon antivirus per Android, che contenga una “lista nera” costantemente aggiornata delle app che gli esperti di sicurezza hanno segnalato come pericolose.
Di solito gli store ufficiali delle app per tablet e telefonini sono considerati posti sicuri, ma ogni tanto qualche app ostile riesce a passare i controlli di sicurezza. Stavolta è il turno di Google Play, dal quale sono state rimosse ben 87 app che erano false mod per Minecraft.
Invece di modificare il gioco, queste app prendono il controllo del dispositivo dell’utente e lo bombardano di pubblicità scaricate oppure aprono una finestra del browser che visualizza pubblicità, sondaggi e finti allarmi per virus, come segnala Graham Cluley. E ovviamente nulla vieta a un’app del genere di scaricare malware al posto di pubblicità.
Per evitare questo rischio, oltre a stare negli store ufficiali è opportuno guardare le recensioni delle singole app: se un’app ha dei comportamenti strani, gli altri utenti li segnaleranno. Un altro modo per scansare app ostili è stare attenti alle richieste di permessi: un’app di gioco che chiede permessi di amministratore o di pubblicare contenuti sui social network è probabilmente malintenzionata. Infine è sempre buona cosa installare preventivamente un buon antivirus, in grado di riconoscere buona parte delle app infette.
Se usate un telefonino basato sul sistema Android (cioè praticamente tutti gli smartphone di qualunque marca a parte quelli di Apple e Microsoft), una delle prime raccomandazioni di sicurezza è fidarsi soltanto delle app che si trovano nel negozio ufficiale di Android, Google Play, e non installare mai app trovate al di fuori di Google Play, come purtroppo invece fanno in molti, finendo per infettare il proprio smartphone.
Per maggiore prudenza, inoltre, si consiglia di solito di fidarsi soltanto delle app che in Google Play risultano molto popolari, perché se fossero pericolose o infette gli utenti e gli esperti di sicurezza informatica se ne sarebbero già accorti da tempo e le avrebbero fatte rimuovere.
Infatti anche in Google Play capita di trovare app ostili che causano danni, ma di solito si tratta di meteore: app di scarsa popolarità, la cui pericolosità sfugge ai controlli di Google, degli utenti e degli esperti proprio perché vengono scaricate da pochi.
Di recente, però, questo criterio di prudenza è stato sovvertito: sulla fonte ufficiale delle app Android è stata pubblicata infatti un’app infetta che è stata poi scaricata da più di un milione di utenti prima che qualcuno si accorgesse della sua pericolosità.
L’app si chiama Multiple Accounts, ed è stata segnalata dalla società di sicurezza Doctor Web: consente di creare account multipli per giochi, mail, messaggi e altro software, e per questo è diventata molto popolare, ma in realtà include una trappola ingegnosa: un’immagine che contiene istruzioni cifrate che scaricano e installano applicazioni aggiuntive indesiderate sullo smartphone della vittima e visualizzano pubblicità indesiderata. In alcune versioni, l’app tenta addirittura di prendere il controllo del dispositivo, diventando quasi impossibile da rimuovere perché ha ottenuto i privilegi di root.
La regola di fidarsi solo delle app che sono in Google Play e sono popolari, insomma, non vale più. Per evitare questo genere di problema è opportuno installare sul dispositivo un antivirus e tenerlo aggiornato, in modo che possa impedire l’installazione di app pericolose. Gli antivirus per Android delle principali case produttrici sono in Google Play. Assicuratevi, ovviamente, di installare gli antivirus veri, che sono riconoscibili guardando il nome del produttore in Google Play oppure cercandoli direttamente nel sito ufficiale del produttore stesso. Molti sono gratuiti o comunque molto economici, e di certo costano molto meno di quel che vi costerebbe ripulire uno smartphone infettato. Anche in questo caso, dunque, vale il principio che prevenire costa meno che curare.
