Trojan in sistema Android e AV Eset non sembra bloccarne attivazione

[filipsnew]

Da Chrome mobile ho ottenuto due download automatici di malware su Android7. I download si alternavano ad ogni successivo mio tentativo di accedere a un link malevolo (non lo riporto) messo in una guida per il tool ADB.
Uno è considerato tra i più nefasti per Android: Hiddad.xf; l'altro ha un codice di pericolosità inferiore: AdDisplay.Spovider.AT.

Ora l'antivirus Eset mi ha segnalato in tempo reale ogni download, tuttavia mi piacerebbe capire come mai, dopo i primi due casi in cui ho seguito la richiesta di cancellazione immediata del file da parte dell'antivirus, in successivi miei ripetuti test nei quali non ho più seguito il suggerimento dell antivirus per una rimozione del file, si sia verificato il risultato di seguito riportato:

1) ho toccato il link

2) si è caricata la pagina

3) è comparso popup per download (il link era suggerito per scaricare il tool ADB)

4) dopo pochi secondi Eset ha messo popup di avviso minaccia rilevata e scaricata

5) io ho preso nota del nome che Eset segnalava (per es. Hiddad.xf)

6) ho messo Eset in background

7) ho aperto il file manager e cercato in Download il file infetto

8) l'ho trovato in /Download

9) ho fatto un trasferimento a Virustotal per una analisi ulteriore (e infatti il 70% degli AV mi ha segnalato il virus Hiddad.xf con codice rosso)

10) durante questa azione di invio del file, esso è sparito dalla cartella Download

11) alla fine ho riaperto Eset dalle app recenti ed esso mi segnalava il problema ancora come non risolto

12) ho premuto 'rimuovi tutto'

13) per Eset il problema risultava ora risolto, ma come ho detto al #10, il file appariva già eliminato in concomitanza con upload in direzione Virustotal

Vorrei capire perché il trojan sia sparito quando io l'ho selezionato per inviarlo a Virus Total; viene il sospetto che sia entrato in esecuzione installandosi nel sistema. Eset non dovrebbe impedire eventuale attivazione/autoinstallazione, dovuta a poco accorta azione utente (per es. selezione del file quando ho inviato a VirusTotal)? Nel 'report attività' dell'AV non ho rilevato niente in relazione agli eventi (selezione/invio/cancellazione file) sopra evidenziati.

[NiKKlaus]

Originariamente inviato da filipsnew

Da Chrome mobile ho ottenuto due download automatici di malware su Android7. I download si alternavano ad ogni successivo mio tentativo di accedere a un link malevolo (non lo riporto) messo in una guida per il tool ADB.
Uno è considerato tra i più nefasti per Android: Hiddad.xf; l'altro ha un codice di pericolosità inferiore: AdDisplay.Spovider.AT.

Ora l'antivirus Eset mi ha segnalato in tempo reale ogni download, tuttavia mi piacerebbe capire come mai, dopo i primi due casi in cui ho seguito la richiesta di cancellazione immediata del file da parte dell'antivirus, in successivi miei ripetuti test nei quali non ho più seguito il suggerimento dell antivirus per una rimozione del file, si sia verificato il risultato di seguito riportato:

1) ho toccato il link

2) si è caricata la pagina

3) è comparso popup per download (il link era suggerito per scaricare il tool ADB)

4) dopo pochi secondi Eset ha messo popup di avviso minaccia rilevata e scaricata

5) io ho preso nota del nome che Eset segnalava (per es. Hiddad.xf)

6) ho messo Eset in background

7) ho aperto il file manager e cercato in Download il file infetto

8) l'ho trovato in /Download

9) ho fatto un trasferimento a Virustotal per una analisi ulteriore (e infatti il 70% degli AV mi ha segnalato il virus Hiddad.xf con codice rosso)

10) durante questa azione di invio del file, esso è sparito dalla cartella Download

11) alla fine ho riaperto Eset dalle app recenti ed esso mi segnalava il problema ancora come non risolto

12) ho premuto 'rimuovi tutto'

13) per Eset il problema risultava ora risolto, ma come ho detto al #10, il file appariva già eliminato in concomitanza con upload in direzione Virustotal

Vorrei capire perché il trojan sia sparito quando io l'ho selezionato per inviarlo a Virus Total; viene il sospetto che sia entrato in esecuzione installandosi nel sistema. Eset non dovrebbe impedire eventuale attivazione/autoinstallazione, dovuta a poco accorta azione utente (per es. selezione del file quando ho inviato a VirusTotal)? Nel 'report attività' dell'AV non ho rilevato niente in relazione agli eventi (selezione/invio/cancellazione file) sopra evidenziati.

io fossi al tuo posto riporterei il telefono alle condizioni di fabbrica e prenderei kasperky

[filipsnew]

Originariamente inviato da NiKKlaus

io fossi al tuo posto riporterei il telefono alle condizioni di fabbrica e prenderei kasperky

Guarda, il reset è proprio quello che avevo/ho intenzione di fare. Eset dovrebbe comunque essere un ottimo AV al pari del Kaspersky. Magari provo a installare Kasp e ripetere le operazioni per vedere che succede, eventuali differenze..

Mi piacerebbe però capire la logica della sequenza eventi delineati da un punto di vista tecnico. Un trojan in genere sparisce / si autoelimina, dopo autoesecuzione del codice? Oppure è stato l'AV (dubito in base a quanto detto)? o magari il sistema di autodifesa Android? possibile ma strano perché gli ultimi aggiornamenti risalgono a estate 2018, mentre Hiddad ho letto che è recente, tipo gennaio 2019

[filipsnew]

Originariamente inviato da NiKKlaus

io fossi al tuo posto riporterei il telefono alle condizioni di fabbrica e prenderei kasperky

Ho provato con Kaspersky, da parecchi anni non lo utilizzavo, e devo dire che la gui mobike è parecchio migliorata; di certo meglio di Eset, anche per la logica di trattamento delle minacce. Peraltro ha individuato tipologie adware, in ulteriori test sul link incriminato, dove Eset (e parecchi altri av noti) ha fatto invece cilecca. Ho avuto modo di riscoprire anche un altro av da tempo messo da parte, DrWeb, e dirò che si è rivelato davvero impressionante (perlomeno pari al Kasp, ma, almeno nella versione lite, direi anche qualcosa di più).

La sparizione dei file, a questo punto, non saprei dire a cosa sia imputabile, visto che nei test odierni se ne sono verificate di ulteriori, senza alcuna selezione, trasferimento o altra azione da parte mia; non sono intervenuto in alcun modo, e a quanto ne so, ad oggi non dovrebbe esser possibile autoesecuzione in tale scenario. Forse davvero l'autoprotezione del sistema? Comunque sia il reset è garantito