Spyware ProSpy
I ricercatori di sicurezza informatica hanno scoperto una sofisticata campagna spyware per Android, nota come ProSpy, che prende di mira specificamente gli utenti degli Emirati Arabi Uniti (EAU) impersonando app di messaggistica popolari come Signal e ToTok. La campagna si basa su tattiche ingannevoli per indurre gli utenti a installare software dannoso, bypassando gli app store ufficiali.
Sommario
Come si diffonde ProSpy
Il malware ProSpy viene distribuito tramite siti web falsi e tecniche di ingegneria sociale, incoraggiando gli utenti a scaricare e installare manualmente file APK compromessi. Queste app non sono disponibili sugli app store legittimi, rendendo necessaria l'installazione manuale da fonti di terze parti.
La campagna, identificata per la prima volta nel giugno 2025 e si ritiene attiva dal 2024, utilizza siti web camuffati da Signal e ToTok per offrire file APK trappola. Questi file vengono presentati in modo fuorviante come aggiornamenti, con nomi come Signal Encryption Plugin e ToTok Pro.
Contesto storico: perché ToTok era un bersaglio
L'uso di ToTok come esca è particolarmente strategico. ToTok è stato rimosso da Google Play e dall'App Store di Apple nel dicembre 2019, in seguito alle accuse di fungere da strumento di sorveglianza per il governo degli Emirati Arabi Uniti, raccogliendo conversazioni, dati sulla posizione e altre informazioni personali degli utenti.
Gli sviluppatori di ToTok hanno sempre negato queste affermazioni, definendo la rimozione dell'app come manipolazione del mercato e affermando che il software non spia i suoi utenti.
Capacità delle app dannose
Le app ProSpy sono progettate per richiedere ampie autorizzazioni al dispositivo, tra cui l'accesso a:
- Contatti
- messaggi SMS
- File memorizzati sul dispositivo
Lo spyware può esfiltrare dati sensibili, tra cui informazioni sul dispositivo, backup delle chat ed elenchi delle applicazioni installate. I ricercatori hanno anche notato la presenza di un'altra famiglia di spyware Android attiva nella stessa regione, il che suggerisce un'azione coordinata di targeting.
Reindirizzamento ingannevole per mascherare attività dannose
La campagna include tattiche di reindirizzamento intelligenti che rafforzano la legittimità delle app:
ToTok Pro
- L'app è dotata di un pulsante "CONTINUA", che indirizza gli utenti alla pagina ufficiale di download di ToTok.
- I futuri lanci dell'app dannosa aprono l'app legittima ToTok, nascondendo di fatto lo spyware.
- Gli utenti potrebbero notare due app sul proprio dispositivo (ToTok e ToTok Pro), che potrebbero essere sospette.
Plugin di crittografia del segnale
- Questa app include un pulsante "ABILITA" che indirizza gli utenti al sito Web ufficiale di Signal.
- Una volta concesse le autorizzazioni, l'icona dell'app fraudolenta viene camuffata da Google Play Services, mascherandone ulteriormente la presenza.
- Indipendentemente dall'app, l'esfiltrazione dei dati avviene silenziosamente prima che gli utenti interagiscano con i pulsanti di reindirizzamento, compromettendo contatti, messaggi, file e altre informazioni sensibili.
Impatto regionale e implicazioni sulla sicurezza
La campagna ProSpy evidenzia i rischi dell'installazione manuale di app da fonti non ufficiali e le minacce in corso che prendono di mira gli utenti negli Emirati Arabi Uniti. Tali campagne dimostrano come i criminali informatici sfruttino sia le controversie storiche sia la fiducia nelle app più diffuse per infiltrarsi nei dispositivi e rubare dati.
