Triada, un Trojan invisibile, modulare e persistente che colpisce i dispositivi Android

Triada è un Trojan che gli esperti di Kaspersky hanno definito "invisibile, modulare e persistente". Progettato da cyber criminali professionisti, Triada appare nella Virologia dei Dispositivi Mobile realizzata da Kaspersky Lab. I dispositivi che integrano la versione 4.4.4 e quelle precedenti del sistema operativo Android sono fortemente a rischio, secondo Kaspersky.

Questo genere di malware si diffonde attraverso applicazioni che gli utenti scaricano/installano da fonti non affidabili. Queste app possono a volte trovarsi nello store ufficiale Google Play, sotto forma di gioco o di applicazione per l’intrattenimento. Possono inoltre essere installate durante l’update di un’app già esistente e, talvolta, sono preinstallate sul dispositivo mobile.

Secondo l'analisi di Kaspersky Lab ci sono 11 famiglie di Trojan mobile conosciute che usano i privilegi di root e tre di esse (Ztorg, Gorpo e Leechm) operano in collaborazione tra di loro. I dispositivi infettati dai Trojan di questo tipo si organizzano in botnet sfruttabili dai gruppi criminali per installare diversi tipi di adware. Inoltre, Triada scarica e installa una backdoor capace di effettuare il download e l’attivazione di due moduli che sono in grado di scaricare, installare e lanciare applicazioni.

Non appena il Trojan entra nel sistema, sarà in grado di usare Zygote, diventando parte del processo di gestione ed esecuzione delle app e sarà preinstallato in ogni lancio di applicazione sul dispositivo, oltre a poter cambiare la logica delle operazioni dell’applicazione. È la prima volta che una simile tecnologia viene vista in-the-wild. Prima di questo, un Trojan che usa Zygote era conosciuto solamente come proof-of-concept.

Le funzionalità di invisibilità di questo malware sono molto avanzate, perché Triada continua ad esistere solamente nel registro delle attività e per questo le soluzioni antimalware non riescono a rivelarlo e ad eliminarlo.

Ma qual è il modello di business dei cyber criminali che hanno progettato Triada? Una delle principali funzionalità del Trojan Triada è la capacità di modificare gli SMS in uscita inviati da altre applicazioni. Quando un utente fa acquisti in-app via SMS per giochi Android, i criminali possono modificare l’SMS in uscita in modo che il denaro vada a loro anziché allo sviluppatore del gioco.