Questo malware simula lo spegnimento dell’iPhone: per fortuna per ora è solo un esempio teorico

I ricercatori di sicurezza di ZecOps hanno realizzato un malware proof-of-concept per iOS che simula lo spegnimento e il riavvio del dispositivo evitando la rimozione del malware stesso e lasciando così la possibilità di monitorare e spiare l'attività dell'utente.

Per quanto la diffusione di malware su iOS sia un evento estremamente raro (l'incidenza però aumenta nel caso in cui si tratti di un iPhone su cui è stata eseguita una procedura di jailbreak), nella maggior parte dei casi in cui ciò accade è necessario semplicemente riavviare il dispositivo perché il malware venga rimosso dalla memoria del telefono e cessi la sua attività dannosa.

I ricercatori di ZecOps sono però riusciti a sviluppare un malware che intercetta il comando di spegnimento, avviando una finta procedura che lo simula in tutto e per tutto: compare la "rotellina" al centro dello schermo, il quale poi diventa nero, e il telefono non risponde più ai comandi, non vibra e non emette suoni.

In realtà il telefono è perfettamente funzionante e attivo, e se il malware lo prevede, può essere monitorato e controllato da remoto. Il telefono risponderà solamente quando viene rilevato il comando di accensione, e anche in questo caso verrà mostrata una simulazione dell'attività di boot.

In questo modo l'utente crede di aver riavviato il telefono - e quindi, eventualmente, di aver rimosso e cessato l'attività di un malware - quando invece il riavvio non è avvenuto e il malware può continuare ad operare.

Se si osserva il video condiviso dai ricercatori, tuttavia, si possono notare alcuni piccoli dettagli che indicano come il processo sia in realtà una simulazione, anche se si tratta di elementi che nella maggior parte dei casi potrebbero passare inosservati. Anzitutto lo spegnimento simulato avviene prima rispetto alla durata della pressione necessaria per lo spegnimento effettivo, così da indurre l'utente a rilasciare il tasto di spegnimento. In secondo luogo a seguito dell'avvio simulato non viene richiesto il codice di sblocco del telefono.

La tecnica mostrata dai ricercatori potrebbe essere sfruttata in congiunzione ad altri malware, che in questo modo riuscirebbero ad ottenere la persistanza sul dispositivo iOS vanificando quindi l'usuale raccomandazione di riavviare il telefono per neutralizzare il malware.