Hacking Team, un'app capace di aggirare i controlli di Google Play Store

I ricercatori di sicurezza di Trend Labs (Trend Micro) hanno individuato un piccolo inganno nascosto all'interno di un esempio di una finta applicazione di notizie per Android creata da Hacking Team. Quanto individuato potrebbe essere stato usato per aggirare i controlli di sicurezza dello store Google Play per infiltrare uno spyware in un dispositivo Android.

Sebbene l'applicazione sia stata scaricata appena una cinquantina di volte, la tecnica potrebbe essere stata usata in altre app Android sviluppate da Hacking Team per i suoi clienti e potrebbe essere ora copiata da altri malintenzionati che vogliono introdurre malware nei dispositivi Android.

L'app, denominata "BeNews" è una sorta di cavallo di Troia per infiltrare il malware RCSAndroid di Hacking Team: il nome usato è quello di un sito di notizie ormai defunto, per far sì che possa essere scambiata per una legittima applicazione Android. Il codice sorgente dell'app è stato trovato nei file trafugati da Hacking Team, assieme alla documentazione che illustra ai clienti come usarla. E' possibile che Hacking Team abbia venduto questa applicazione ai clienti e che questi l'abbiano usata come esca per far scaricare il malware RCSAndroid sul dispositivo di una vittima designata.

L'app sfrutta una vulnerabilità di privilege escalation in Android che interessa tutte le versioni da Android 2.2 "Froyo" ad Android 4.4.4 "KitKat" ed è stata documentata la scorsa estate. Il codice in grado di sfruttare la falla sembra non essere incluso nel codice originario dell'app BeNews. Una volta scaricata e avviata dall'utente, l'app è però in grado di caricare in maniera dinamica codice aggiuntivo, incluso quello capace di sfruttare la vulnerabilità, e diviene così capace di scalare le permission e installare RCSAndroid.

Sebbene la minaccia posta da questa da app non paia essere particolarmente grave (è necessario l'accesso fisico al telefono della vittima, o l'uso di tecniche di ingegneria sociale per convincere l'utente ad installare l'app), è opportuno tenere presente che il codice e la documentazione ad essa legata sono ora di pubblico dominio e potrebbero essere usati per creare altre app malevole capaci di aggirare i controlli di Google per il Play Store.