Riporto per intero e senza modifiche l'articolo del blog autorevole di iReplace scritto da Guido Crescitelli.
Triada.
E’ questo il nome di uno dei malware Android più pericolosi in circolazione.
Scoperto per la prima volta nel 2016, la sua presenza è stata recentemente rilevata in oltre 40 modellieconomici di smartphone cinesi con Android. A sostenerlo sono stati i ricercatori di sicurezza di Dr. Web che lanciano l’allarme, spiegando nel dettaglio in che modo agisce questa minaccia:
Una volta lanciato sul dispositivo della vittima, Triada ottiene i privilegi di root e installa una backdoor. Dopo aver preso il controllo del dispositivo, Triada sfrutta un processo del sistema operativo Android (Zygote) per eseguire il proprio codice nel contesto di tutte le applicazioni in esecuzione. Questo trojan è in grado, tra le varie attività malevoli, di scaricare, installare e lanciare altre applicazioni.
Il malware quindi non viene distribuito dai cybercriminali come applicazione separata ma è incorporato nel firmware durante la fase di produzione: i dispositivi vengono consegnati già “infetti” agli acquirenti.
Questo malware sembrerebbe essere implementato solo sui dispositivi Android cinesi; I ricercatori tuttavia affermano che la lista non è definitiva e che i terminali infetti potrebbero essere molti di più.
Di seguito, L’elenco dei terminali nei quali è stata rilevata la presenza del malware:
Leagoo M5, Leagoo M5 Plus, Leagoo M5 Edge, Leagoo M8, Leagoo M8 Pro, Leagoo Z5C, Leagoo T1 Plus, Leagoo Z3C, Leagoo Z1C, Leagoo M9, ARK Benefit M8, Zopo Speed 7 Plus, UHANS A101, Doogee X5 Max, Doogee X5 Max Pro, Doogee Shoot 1, Doogee Shoot 2, Tecno W2, Homtom HT16, Umi London, Kiano Elegance 5.1 iLife Fivo Lite, Mito A39, Vertex Impress InTouch 4G, Vertex Impress Genius, myPhone Hammer Energy, Advan S5E NXT, Advan S4Z, Advan i5E, STF AERIAL PLUS, STF JOY PRO, Tesla SP6.2, Cubot Rainbow, EXTREME 7, Haier T51, Cherry Mobile Flare S5, Cherry Mobile Flare J2S, Cherry Mobile Flare P1, NOA H6, Pelitt T1 PLUS, Prestigio Grace M5 LTE, BQ 5510.
Da dove nasce questa minaccia? Secondo Dr. Web, la fonte del malware sarebbe una società di sviluppo software di Shanghai, partner di diversi produttori di smartphone cinesi, che avrebbe fornito una delle proprie applicazioni da includere nel sistema operativo dei dispositivi, assieme ad istruzioni su come aggiungere codice di terze parti alle librerie di sistema prima della loro compilazione. Apparentemente, queste richieste non sarebbero apparse come sospette agli occhi dei produttori, aprendo così la strada alle numerose infezioni rilevate dai ricercatori.
Attualmente, l’unico modo per neutralizzare la minaccia consiste nel installare un anti-virus (Dr. Web consiglia ovviamente il suo, Dr. Web Security Space) in grado di eliminare definitivamente Android.Triada.231, ovvero il malware in questione. In caso di insuccesso e qualora i permessi di root siano bloccati, il malware potrà essere rimosso installando una versione “pulita” del sistema operativo. Per far ciò, occorre contattare il produttore del terminale affinché possa darci la versione corretta del sistema.