Nel "Play Market" sono stati trovati decine di applicazioni con il malware NoVoice, che hanno scaricato 2,3 milioni di utenti

Breve riepilogo

Nel Google Play Market sono stati trovati più di 50 applicazioni contenenti codice dannoso *NoVoice*.

- Il virus utilizza vulnerabilità Android note (2016‑2021) per ottenere privilegi root.
- È stato scaricato oltre 2,3 milioni di volte.
- Le applicazioni sembrano gallerie fotografiche, giochi e utility “pulizia” – non richiedono permessi sospetti.

Gli esperti McAfee hanno confermato la presenza della minaccia, ma non sono riusciti a individuare l’attore specifico; il virus è simile al Trojan *Triada*.

Come funziona NoVoice
Fase Cosa accade Infestazione
Il codice dannoso viene inserito nel pacchetto `com.facebook✴.utils`, mascherandosi come SDK Facebook. Il payload criptato (`enc.apk`) è nascosto all’interno di un’immagine PNG, da cui viene estratto il file `h.apk` e caricato in memoria. Successivamente tutti i file temporanei vengono eliminati.

Condizione di infezione
Se il dispositivo è identificato come situato a Pechino o Shenzhen (Cina) e supera 15 controlli su emulatori, debugger e VPN, il processo si interrompe. Altrimenti continua.

Raccolta informazioni
Il malware si connette al server remoto e invia: versione del kernel, Android, elenco delle applicazioni installate, stato root. Le richieste vengono ripetute ogni 60 secondi.

Exploit
McAfee ha individuato 22 exploit (bug di kernel, perdite di memoria, vulnerabilità dei driver Mali). Essi aprono una shell root e disabilitano SELinux.

Presenza persistente
Una volta ottenuto il root, il malware sostituisce le librerie di sistema `libandroid_runtime.so` e `libmedia_jni.so`, crea script di recupero, sovrascrive l’handler degli errori e salva un payload di backup nella partizione di sistema (non viene cancellato con il reset). Ogni 60 secondi viene avviato un demone guardia che verifica l’integrità del rootkit.

Moduli funzionali
1) Installazione/ rimozione nascosta delle applicazioni.
2) Connessione a qualsiasi app internet e furto di dati (principalmente da WhatsApp). Quando si apre il messaggio, il malware ottiene basi, chiavi di crittografia, numero di telefono e backup su Google Drive, inviandoli al server di controllo. Ciò consente agli aggressori di clonare le sessioni di WhatsApp.

Modularità
Il virus può utilizzare altri payload per qualsiasi applicazione sul dispositivo.

Protezione
- I dispositivi aggiornati dopo maggio 2021 non sono più vulnerabili, poiché gli exploit sono stati chiusi.
- Google Play Protect rimuove automaticamente le app trovate e blocca nuove installazioni.
- Si consiglia agli utenti di installare regolarmente tutti gli aggiornamenti di sicurezza disponibili.

Conclusione: *NoVoice* è un rootkit complesso che sfrutta vulnerabilità Android obsolete per ottenere privilegi root, infezione nascosta e furto di dati da applicazioni popolari. La protezione è possibile solo tramite patch tempestive e l’utilizzo di Play Protect.