La piattaforma pubblicitaria Igexin invia in Cina i dati degli utenti

Ago 25, 2017 Giancarlo Calzetta Intrusione, Malware, News, Privacy, RSS 0

Avete trovato una bella piattaforma pubblicitaria semplice da usare e gratuita per monetizzare le vostre app? Forse meglio controllare cosa combina a vostra insaputa, perché il caso di Igexin SDK è inquietante.

Igexin SDK è una bella piattaforma pubblicitaria per app Android che permette agli svilupatori di guadagnare qualcosa dal loro lavoro. Purtroppo, i suoi creatori non si accontentano delle entrate lecite e hanno ben pensato di sfruttarla per diffondere del codice malevolo in grado di raccogliere dati dal telefono degli utenti.

In realtà, secondo il rapporto stilato da Adam Bauer e Christoph Hebeisen della società Lookout, il lavoro di Igexin non è così lineare. Non tutte le app che usano questa piattaforma sono state infettate dallo spyware, ma solo alcune scelte dalla società cinese.

Il codice che i programmatori inseriscono nelle loro app, infatti, non incorpora direttamente alcun malware. Tra le delle routine che vanno a procacciare le pubblicità da visualizzare, invece, si trova un modulo che comunica costantemente con i server Igexin e permette di scaricare codice eseguibile.

In alcuni casi, questo codice è stato visto raccogliere e mandare in Cina una serie di dati quali i numeri di telefono del dispositivo, la lista delle chiamate effettuate, la durata delle stesse e lo stato attuale del telefono.

Qui si vede una delle chiamate del codice del malware che punta a recuperare lo stato del telefono.

Il codice scaricato dai server cinesi non è in grado, per quanto visto, di scavalcare i permessi concessi dal sistema operativo in fase di installazione, però questo non significa che i dati collezionabili siano pochi.

Inoltre, anche se il suo sistema di attivazione è selettivo e quindi finora solo una minima parte delle app infette si è davvero trasformata in una spia, nulla lascia intendere che in futuro Igexin possa decidere si “svegliare” questi potenziali trojan e attivarli, magari scaricando un codice in grado di sfruttare qualche vulnerabilità particolare.

Lookout ha analizzato moltissime app nello store di Google, scoprendo che oltre 500 facevano uso della piattaforma in esame. Le app sono state tutte eliminate o sostituite dagli sviluppatori con una versione priva di potenziali minacce, ma resta il fatto che il numero di app scaricate è davvero elevato. Per avere un’idea, possiamo vedere un riassunto di quanto contenuto nella lista, categorizzato per tipologia di app:

Giochi per adolescenti (scaricati tra le 50 e le 100 milioni di volte)
App meteo (una delle quali scaricate tra 1 e 5 milioni di volte)
Internet Radio (in totale tra le 500mila e il milione di volte)
App di Fotoritocco (tra 1 e 5 milioni di download)
Altre app meno diffuse ma di un po’ tutte le categorie.

Ma perché raccogliere i numeri di telefono degli utenti che installano la app e la lista delle sue chiamate? I motivi potrebbero essere molti e tra i più inquietanti c’è quello che questa sia stata una campagna mirata a scovare i numeri di telefono di personaggi politici o attivisti da tenere sott’occhio.
Non c’è nulla a supporto di questa ipotesi, assolutamente personale, se non il fatto che guardando l’elenco delle chiamate fatte e la loro durata si può controllare facilmente se una persona è in contatto con qualcuno che si tiene sotto sorveglianza e costruirne in maniera semplice e automatica una mappa delle conoscenze e connessioni personali.

Inoltre, c’è un’altra importante implicazione nella perdita di dati connessa a questo caso: alla luce della prossima entrata in vigore della normativa GDPR, cosa accadrebbe a chi ha sviluppato l’app? Legalmente, il responsabile di quanto avviene nell’app è il suo sviluppatore, anche se si appoggia a framework che non ha creato lui.

La morale, quindi, è quella di usare solo librerie e piattaforme estremamente ben collaudate, solo che fare la scelta corretta potrebbe essere molto complicato dal momento che anche quella di Igexin sembrava avere le carte in regola.

Condividi l'articolo