Un falso aggiornamento di Chrome legge le chat di Telegram e WhatsApp

Un falso aggiornamento di Chrome sta installando spyware su telefoni Android in più di 26 paesi. Positive Technologies ha pubblicato la sua analisi il 17 agosto: il programma, chiamato DragonDoll, arriva da una pagina che copia il sito ufficiale di Chrome, chiede un solo permesso di sistema e da quel momento legge le vostre conversazioni su Telegram, WhatsApp e Signal direttamente dallo schermo. In due mesi i ricercatori hanno raccolto circa 150 campioni. La cosa da ricordare non è il nome del malware, ma la regola sulla cui ignoranza conta: su Android, Chrome non si aggiorna mai da un sito web.

Un aggiornamento del browser offerto da una pagina è sempre falso

Su Android Chrome viene aggiornato da Google Play, in background, senza chiedervi di scaricare nulla. Il browser non vi consegna mai un file da installare, e nemmeno le altre applicazioni preinstallate. Quindi una pagina che avvisa che il vostro Chrome è obsoleto e offre l'aggiornamento come file ha un solo scopo, per quanto sia ben disegnata.

In questa campagna era disegnata bene. La pagina copiava l'impaginazione del sito vero di Chrome e cambiava lingua automaticamente in base a quella del browser che la apriva, con 34 localizzazioni fra cui russo, ucraino, arabo, cinese, coreano, ebraico e persiano. Il testo cambiava perfino a seconda che il file fosse già installato. Gli indirizzi non avevano nulla a che fare con Google: la trappola girava su nomi come datewithmealways[.]site e digitaladstracking[.]com.

Un permesso è l'intero attacco

Quello che vuole l'installer è il servizio di accessibilità. Su Android questa impostazione esiste per chi non vede lo schermo o non riesce a toccare con precisione, quindi per progetto può leggere tutto ciò che compare sul display e toccare al posto vostro. Darla a un'applicazione qualsiasi equivale a lasciare che uno sconosciuto si sieda accanto a voi, guardi da sopra la spalla e nel frattempo usi il telefono.

Con quell'interruttore attivo, DragonDoll legge elenchi di chat, contatti, testo dei messaggi, orari di invio e nomi dei mittenti in Signal e WhatsApp, e in Telegram intercetta anche il contenuto delle notifiche. Per Viber e per tutto il resto raccoglie semplicemente il testo visibile sullo schermo. Lo stesso canale gli dà i tasti premuti compresi i campi password, screenshot, finestre finte sopra le applicazioni vere, lettura e invio di SMS, chiamate, contatti e controllo remoto del dispositivo. I ricercatori hanno contato più di cinquanta comandi a disposizione dell'operatore.

Ecco perché la crittografia del vostro messenger qui non c'entra. Signal e WhatsApp proteggono un messaggio in viaggio fra due telefoni. DragonDoll sta dentro uno di quei telefoni e legge il messaggio già decifrato, sullo schermo, esattamente come lo leggete voi.

Controllate il telefono stasera

1. Aprite Impostazioni, Accessibilità, e cercate l'elenco delle app installate che hanno accesso. Sulla maggior parte dei telefoni sta sotto "App scaricate" o "Servizi installati". Tutto ciò che non avete attivato consapevolmente va disattivato. Un browser, un gioco o un "aggiornamento" lì non ci devono stare.
2. Andate in Impostazioni, App, Accesso speciale, Installa app sconosciute. Togliete il permesso a tutti, soprattutto al browser e alle app di messaggistica. È proprio quell'interruttore a permettere a una pagina web di installare un programma.
3. Nello stesso menu controllate l'accesso alle notifiche. Un'app che legge tutte le notifiche vede i codici usa e getta e le anteprime dei messaggi senza aprire il messenger.
4. Aprite Impostazioni, Sicurezza, App di amministrazione dispositivo. Su un telefono personale quell'elenco è di solito vuoto o contiene solo "Trova il mio dispositivo". Un amministratore del dispositivo è più difficile da disinstallare, ed è esattamente per questo che i malware lo chiedono.
5. Avviate una scansione in Google Play: la vostra foto in alto a destra, poi Play Protect e Scansiona. Non è un antivirus completo, ma le famiglie note le riconosce.
6. Ordinate le app installate per data e guardate le più recenti. Tutto ciò che non riconoscete o non ricordate di aver installato va rimosso.

Se lo avete già installato

1. Attivate la modalità aereo. Il programma prende ordini da un server di controllo, e togliere la rete chiude la conversazione.
2. Avviate in modalità provvisoria: tenete premuto il tasto di accensione, poi premete a lungo su "Spegni" finché il telefono non propone la modalità provvisoria. Lì le app di terze parti non girano, e la rimozione diventa possibile.
3. Togliete prima i diritti di amministratore in Impostazioni, Sicurezza, App di amministrazione, poi disinstallate l'applicazione. Se si rifiuta di sparire, il ripristino di fabbrica è la risposta affidabile.
4. Da un altro dispositivo cambiate le password di posta, banca e messaggistica. In Telegram aprite Impostazioni, Dispositivi e chiudete tutte le altre sessioni; in WhatsApp controllate i dispositivi collegati e disconnettete quelli sconosciuti.
5. Tenete d'occhio i movimenti della carta, in particolare i piccoli addebiti di prova, e considerate noti a estranei il PIN o la password della banca digitati su quel telefono.

Chi era il bersaglio

Positive Technologies ha incontrato questa famiglia in primavera, indagando su attacchi contro utenti in Arabia Saudita, e poi ha ritrovato lo stesso codice su persone in Russia, Cina, Corea e in tutto il Medio Oriente e Nord Africa. I campioni raccolti vanno dal 6 marzo al 6 maggio 2026 e contengono due versioni del programma, la 9.3 e la 9.4. I dati rubati partivano cifrati verso un server di controllo ospitato in Russia.

Una campagna che parla 34 lingue non punta a una persona, punta a chi cliccherà. È questa la lettura utile della storia: nessuno vi ha scelto, è stato scelto il momento in cui una pagina ha detto che il vostro browser era obsoleto e voi ci avete creduto.