Chrome falso sul Play Store, oltre 100.000 download e un annuncio sopra il browser originale

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/telefo...le_160648.html

Un'app ha imitato Google Chrome sul Play Store e ha ottenuto oltre 100.000 download e visibilità attraverso un annuncio sponsorizzato. Che fine hanno fatto i controlli dello store?

Click sul link per visualizzare la notizia.

[TorettoMilano]

esistono storie che non esistono. cit

[marcram]

Ah, giusto, la sicurezza dello store ufficiale...

[omerook]

e poi voglio bloccare le installazioni fuori dallo store per motivi di sicurezza!

[monkey island]

E' noto che ci siano moltissime app spazzatura, buggate, scopiazzate e piene di malware nei vari store (non solo Google ma anche Apple) ma quello che non capisco è PERCHE'...
Come caspita fanno i controlli quando "accettano" un'app nei loro store "sicuri"?

[acerbo]

il playstore é ancora un grosso merdaio e google non fà abbastanza per ripulirlo. Oltretutto quando cerchi un app ti mette in evidenza quelle delle aziende che pagano per essere sponsorizzate e a me di avere tiktok come suggestione senza che l'abbia mai cercata comincia a rompermi le balle, va a finire che passo a iphone

[TorettoMilano]

leggevo sia stato trovato pure un clone di whatsapp... quasi ipotizzo siano notizie IA da quanto mettano in imbarazzo google

Originariamente inviato da marcram

Ah, giusto, la sicurezza dello store ufficiale...

e invece a mettere dei volontari, e non gente pagata magari anche tanto, la situazione sarebbe migliorata... dopo queste notizie, personalmente, temo ancora più gli store terzi. se dove la gente viene pagata h24 ci sono criticità figuriamoci dove ci si affida a volontari cosa potrebbe succedere

[marcram]

Originariamente inviato da TorettoMilano

e invece a mettere dei volontari, e non gente pagata magari anche tanto, la situazione sarebbe migliorata... dopo queste notizie, personalmente, temo ancora più gli store terzi. se dove la gente viene pagata h24 ci sono criticità figuriamoci dove ci si affida a volontari cosa potrebbe succedere

Aspetta aspetta, vado un attimo a vedere quando è stata l'ultima volta che c'è stato un malware su F-droid... Cavolo, non trovo!
Ma sicuramente, se l'hai detto tu, F-droid sarà pieno zeppo di malware...

[TorettoMilano]

Originariamente inviato da marcram

Aspetta aspetta, vado un attimo a vedere quando è stata l'ultima volta che c'è stato un malware su F-droid... Cavolo, non trovo!
Ma sicuramente, se l'hai detto tu, F-droid sarà pieno zeppo di malware...

quante app ci sono su f-droid e quante su playstore?

[monkey island]

Originariamente inviato da TorettoMilano

quante app ci sono su f-droid e quante su playstore?

Secondo me il problema non è il quantitativo bensì il modo in cui vengono inserite nello store. 💵🫰🤑

[zanarkand]

Nel contempo da oggi mi hanno bloccato l'app revolut sul mio Sony Docomo perché "non soddisfa i nostri criteri di sicurezza". Ora mi tocca chiudere il conto e cercare di recuperare il recuperabile (come le azioni comprate dalla loro app).
E poi vengo qui e leggo cose del genere 🤬

[TorettoMilano]

Originariamente inviato da monkey island

Secondo me il problema non è il quantitativo bensì il modo in cui vengono inserite nello store. 💵🫰🤑

prendendo due store con stesso numero di app:
-storeA ha gente pagata per gestirlo e controllare sicurezza, si lucra
-storeB ha gente volontaria, non si lucra

su quale dei due store sceglieresti di scaricare app sensibili senza aggiungere altri fattori terzi (non per questo meno importanti di quelli da me esposti)?

[marcram]

Originariamente inviato da TorettoMilano

quante app ci sono su f-droid e quante su playstore?

E cosa c'entra?
Stavamo parlando di sicurezza, o di quantitativo di app?

[TorettoMilano]

Originariamente inviato da marcram

E cosa c'entra?
Stavamo parlando di sicurezza, o di quantitativo di app?

ho chiesto a gemini e grok dopo quante app su play store sono apparsi malware. mi hanno detto dopo 100k.
sapendo fdroid abbia 4k app e sia nato nel 2010 per raggiungere 100k app (ipotizzando una crescita lineare) dovremmo fare un semplice calcolo:
moltiplicare gli anni per raggiungere le 4k app (16 anni: 2026-2010) per 24 (100k/4k-1)
riassumendo per capire se empiricamente fdroid sia meglio di playstore dovremmo capire se tra (16x24) 384 anni fdroid inizierà ad avere malware

riassumendo dire "fdroid è più sicuro di playstore" è solo un atto di fede

[marcram]

Originariamente inviato da TorettoMilano

ho chiesto a gemini e grok dopo quante app su play store sono apparsi malware. mi hanno detto dopo 100k.
sapendo fdroid abbia 4k app e sia nato nel 2010 per raggiungere 100k app (ipotizzando una crescita lineare) dovremmo fare un semplice calcolo:
moltiplicare gli anni per raggiungere le 4k app (16 anni: 2026-2010) per 24 (100k/4k-1)
riassumendo per capire se empiricamente fdroid sia meglio di playstore dovremmo capire se tra (16x24) 384 anni fdroid inizierà ad avere malware

riassumendo dire "fdroid è più sicuro di playstore" è solo un atto di fede

No, è un dato di fatto.
E, ripeto, cosa c'entra quante app contengono?

[monkey island]

Originariamente inviato da TorettoMilano

prendendo due store con stesso numero di app:
-storeA ha gente pagata per gestirlo e controllare sicurezza, si lucra
-storeB ha gente volontaria, non si lucra

su quale dei due store sceglieresti di scaricare app sensibili senza aggiungere altri fattori terzi (non per questo meno importanti di quelli da me esposti)?

Lo store A (Play Store) NON ha gente pagata bensì sistemi automatizzati: è una piattaforma aperta e di massa dove chiunque può registrarsi come sviluppatore (pagando una quota simbolica una tantum) e caricare un'applicazione.
Questo permette a sviluppatori senza scrupoli di sfruttare tecniche di obfuscation del codice o di caricare app apparentemente "pulite" che poi scaricano codice malevolo tramite aggiornamenti successivi (dropper o Joker malware).
La maggior parte delle app presenti è proprietaria (closed-source).
Gli utenti e gli stessi revisori di Google non possono vedere facilmente come è fatto il codice e questo rende più facile nascondere tracker pubblicitari aggressivi, SDK di tracciamento nascosti o comportamenti di phishing camuffati da utility (es. torce, scanner PDF, calcolatrici).

Lo store B (F-Droid) è un catalogo gestito da una community (software libero e open source).
Non esiste un sistema di "auto-pubblicazione" in cui chiunque carica ciò che vuole però ogni applicazione deve essere sottoposta a una revisione rigorosa da parte dei manutentori umani, che verificano la licenza, la pulizia del codice e l'assenza di tracker o librerie proprietarie prima che l'app venga accettata nel repository ufficiale.

Direi che la differenza fra i due store è abissale, ma in questo contesto mi fido più di F-Droid.

[TorettoMilano]

Originariamente inviato da marcram

No, è un dato di fatto.
E, ripeto, cosa c'entra quante app contengono?

come cosa c'entrano? se invertissimo il numero di app di playstore con quello di fdroid secondo te su un playstore di 4k app avremmo malware?
a me sta benissimo tu ti trovi bene con fdroid e lo professi come lo store perfetto ma è e rimane un atto di fede

Originariamente inviato da monkey island

Lo store A (Play Store) NON ha gente pagata bensì sistemi automatizzati: è una piattaforma aperta e di massa dove chiunque può registrarsi come sviluppatore (pagando una quota simbolica una tantum) e caricare un'applicazione.
Questo permette a sviluppatori senza scrupoli di sfruttare tecniche di obfuscation del codice o di caricare app apparentemente "pulite" che poi scaricano codice malevolo tramite aggiornamenti successivi (dropper o Joker malware).
La maggior parte delle app presenti è proprietaria (closed-source).
Gli utenti e gli stessi revisori di Google non possono vedere facilmente come è fatto il codice e questo rende più facile nascondere tracker pubblicitari aggressivi, SDK di tracciamento nascosti o comportamenti di phishing camuffati da utility (es. torce, scanner PDF, calcolatrici).

Lo store B (F-Droid) è un catalogo gestito da una community (software libero e open source).
Non esiste un sistema di "auto-pubblicazione" in cui chiunque carica ciò che vuole però ogni applicazione deve essere sottoposta a una revisione rigorosa da parte dei manutentori umani, che verificano la licenza, la pulizia del codice e l'assenza di tracker o librerie proprietarie prima che l'app venga accettata nel repository ufficiale.

Direi che la differenza fra i due store è abissale, ma in questo contesto mi fido più di F-Droid.

quindi alle sole condizioni scritte da me installeresti le app sensibili su storeB in cui il tutto viene gestito da volontari quindi eventuali criticità (app bancari, dati sensibili, pagamenti, ecc) dovranno essere risolte in tempo zero da chi non prende soldi e da chi magari in quel momento non sta nemmeno seguendo il tutto (boh magari la maggior parte sta dormendo mentre avviene qualcosa di estremamente critico). io credo ci si voglia impuntare sull' "aver ragione" perdendo di vista l'argomento

[monkey island]

Originariamente inviato da TorettoMilano

quindi alle sole condizioni scritte da me installeresti le app sensibili su storeB in cui il tutto viene gestito da volontari quindi eventuali criticità (app bancari, dati sensibili, pagamenti, ecc) dovranno essere risolte in tempo zero da chi non prende soldi e da chi magari in quel momento non sta nemmeno seguendo il tutto (boh magari la maggior parte sta dormendo mentre avviene qualcosa di estremamente critico). io credo ci si voglia impuntare sull' "aver ragione" perdendo di vista l'argomento

Su F-Droid non esistono app bancarie o di istituit di pagamento tradizionali, proprio perchè questi enti richiedono ecosistemi proprietari chiusi, geolocalizzazione, FCM e standard di conformità che cozzano con la filosofia FOSS.
Quindi il problema della gestione di dati finanziari non si pone con F-Droid.

Per il Play Store gestire automatizzati lascia inevitabilmente delle falle enormi, non è un atto di fede constatare che i malware sguazzano in questo modo ma semplicemente il risultato di questi grandi numeri e della monetizzazione aperta.
Purtroppo, come dicevo prima, ci sono centinaia di app infette che superano i filtri di Google e vengono rilasciate come "pulite".

F-Droid ha un catalogo limitato a poche migliaia di pacchetti proprio perchè "rallentato" dalla revisione umana del suo codice open.

Definisci un atto di fede fidarsi dei rep comunitari ma in realtà la filosofia open source sposta l'asse dalla fiducia cieca alla verificabilità.
Le cose non sono nemmeno paragonabili: il codice è pubblico e se una falla viene scoperta chiunque può patcharla o segnalarla e i client F-Droid avvertono l'utente se ci sono tracker o librerie poco trasparenti.

Google ti propina tutte le app come sicure e, un utonto che non distingue da Chrome di Google con milioni di download da Chrome di Gin Fizz con 3000 download, lo scarica e installa.

[TorettoMilano]

Originariamente inviato da monkey island

Su F-Droid non esistono app bancarie o di istituit di pagamento tradizionali, proprio perchè questi enti richiedono ecosistemi proprietari chiusi, geolocalizzazione, FCM e standard di conformità che cozzano con la filosofia FOSS.
Quindi il problema della gestione di dati finanziari non si pone con F-Droid.

Per il Play Store gestire automatizzati lascia inevitabilmente delle falle enormi, non è un atto di fede constatare che i malware sguazzano in questo modo ma semplicemente il risultato di questi grandi numeri e della monetizzazione aperta.
Purtroppo, come dicevo prima, ci sono centinaia di app infette che superano i filtri di Google e vengono rilasciate come "pulite".

F-Droid ha un catalogo limitato a poche migliaia di pacchetti proprio perchè "rallentato" dalla revisione umana del suo codice open.

Definisci un atto di fede fidarsi dei rep comunitari ma in realtà la filosofia open source sposta l'asse dalla fiducia cieca alla verificabilità.
Le cose non sono nemmeno paragonabili: il codice è pubblico e se una falla viene scoperta chiunque può patcharla o segnalarla e i client F-Droid avvertono l'utente se ci sono tracker o librerie poco trasparenti.

Google ti propina tutte le app come sicure e, un utonto che non distingue da Chrome di Google con milioni di download da Chrome di Gin Fizz con 3000 download, lo scarica e installa.

ah quindi preferisci scaricare app sensibili da storeA, ammetto non si era capito dai messaggi precedenti

[marcram]

Originariamente inviato da TorettoMilano

come cosa c'entrano? se invertissimo il numero di app di playstore con quello di fdroid secondo te su un playstore di 4k app avremmo malware?
a me sta benissimo tu ti trovi bene con fdroid e lo professi come lo store perfetto ma è e rimane un atto di fede

Ancora: stiamo parlando di sicurezza di uno store, non di numero di app.
Perché mai dovremmo invertire il numero di app tra store?

Ti faccio un esempio più semplice, visto che non vuoi capire.
Vuoi comprare carne di qualità. Dove vai? Nella macelleria di fiducia di quartiere, o al super-mega-ipermercato di periferia?
E tu mi rispondi: "ma al super-mega-ipermercato di periferia vendono milioni di prodotti, in macelleria solo un centinaio". E questo cosa c'entra con la qualità della carne???

No caro, l'atto di fede lo fai tu presupponendo che uno store, solo perché è definito "ufficiale", sia il meglio del meglio.