Spyware di Stato spia (per errore) migliaia di italiani

31 Marzo 2019 308

Si chiama “Exodus” lo spyware intercettato dalla società non profit Security Without Borders che ha spiato - per errore - migliaia di italiani. Si tratta di una storia che ha dell’inverosimile, risvolto non voluto di uno “strumento” perfettamente “legale” e controllato dallo stato italiano. Vediamo di fare ordine e di capire cosa è successo.

COS’E’ EXODUS

È uno spyware utilizzato dalle procure italiane per le intercettazioni telefoniche e digitali. È stato inserito dall’intelligence all’interno di alcune applicazioni (si parla di una ventina in totale, dedicate all’ottimizzazione delle prestazioni del telefono ed alla ricezione di offerte da parte del proprio operatore) disponibili al download sul Google Play Store, dunque destinate solamente al sistema operativo Android.

Una volta scaricata una delle app, lo spyware consente di gestire lo smartphone dell’ignaro utente da remoto e di tenere traccia di tutto ciò che viene fatto: dalle chat - criptate e non - alla cronologia di navigazione, dall’agenda alla posizione GPS, dall’ascolto delle telefonate (e non solo) attivando il microfono fino all’accesso al WiFi di casa ed allo scatto di foto per analizzare l’ambiente circostante (persone incluse).

COSA E’ ANDATO STORTO

Colui che si vuole intercettare viene prima di tutto “istigato” a scaricare l’applicazione: ad esempio, l’operatore telefonico invia un SMS che propone di scaricare una determinata app - contenente lo spyware - per ottenere sconti. All’interno del software è stato però compilato del codice errato, che ha in pratica consentito a chiunque di scaricare le app dallo store (prima che Google le rimuovesse, garantendo che con Play Protect - il cui debutto risale al 2017 - tali app verranno d'ora in poi intercettate rapidamente), senza dunque indirizzarle unicamente ai soggetti da intercettare. Di conseguenza, tutti gli utenti Android italiani sono diventati potenziali destinatari dell’attività di spionaggio: “non funzionava infatti il filtro per limitare l’intercettazione solo ai cellulari degli indagati”, racconta Gerardo Costabile, co-fondatore di IISFA.


LA SCOPERTA

Riteniamo che questa piattaforma sia stata sviluppata da una società italiana chiamata eSurv, di Catanzaro, che opera principalmente nel settore della videosorveglianza”, spiegano i ricercatori di Security Without Borders. “Secondo informazioni disponibili pubblicamente, sembra che eSurv abbia iniziato a sviluppare spyware dal 2016”.

eSurv è stata individuata attraverso l’analisi del codice, all’interno del quale si facevano riferimenti alla parola calabrese “mundizza” (immondizia) e all’allenatore del Milan Rino Gattuso (calabrese): una volta circoscritta la ricerca nella regione italiana, gli investigatori hanno analizzato gli indirizzi Dns che - guarda caso - andavano tutti in direzione Catanzaro.



SPYWARE BUONO O “CATTIVO”?

Qui sorge il dubbio: solitamente questa tipologia di spyware viene commissionata dalle forze dell’ordine, ma la pubblicazione “libera” sul Play Store pare non essere stata un semplice errore, quanto piuttosto una scelta deliberata. Non è un caso infatti che la società calabrese sia improvvisamente scomparsa dopo la scoperta. Il motivo di questa azione criminale? Testare il software, a quanto pare, in modo tale che questo potesse essere ottimizzato per le “vere” intercettazioni.

LE REAZIONI

Le intercettazioni cyber in Italia sono una sorta di Far West”, ammette l’avvocato Stefano Aterno. Altri esperti parlano invece di “un vuoto normativo, importante da colmare a vantaggio dei cittadini e degli inquirenti”.

Resta comunque il fatto che Google non ha condiviso con i ricercatori il numero esatto di smartphone infetti, anche se si sa che alcune delle app sono arrivate ad oltre 350 installazioni. Questi dati hanno però convinto la Procura di Napoli ad aprire un’inchiesta per fare luce sulla vicenda.

Fotocamera al top e video 4K a 60fps con tutta la qualità Apple? Apple iPhone XS, in offerta oggi da Techinshop a 845 euro oppure da Unieuro a 1,122 euro.

308

Commenti

Regolamento Commentando dichiaro di aver letto il regolamento e di essere a conoscenza delle informazioni e norme che regolano le discussioni sul sito. Clicca per info.
Caricamento in corso. Per commentare attendere...
M3r71n0

Quanti sono bellini quelli che puntano il dito contro android...
https://thehackernews.com/2019/04/exodus-ios-malware.html
Che **chioni!

DefinitelyNotBruceWayne

Il problema non è negare che Android sia meno sicuro di iOS, ma pensare che con iOS o Mac OS non si rischi niente o comunque si rischi meno.

BoORD_L

Max santo cielo, sono leggi di stato

Max

Il che non significa passare i dati a nessuno

Spider

Fino a qualche anno fa si faceva ancora

Chirurgo Plastico

Hai visto quello che è successo a Telegram in Russia? Secondo te, anche se è una mia supposizione, Apple non collabora con il governo? Dove Tim Cook partecipa in qualche consiglio con altri furboni della Silicon Valley e Trump?

SpiritoInquieto

Questa è una tua supposizione, I fatti dicono che Apple non ha sbloccato proprio nulla.

Chirurgo Plastico

E secondo te uno in America può dire che non sblocca un telefono all’FBI o al governo specie in casi come il terrorismo? Ahahahahah, ti fanno chiudere il giorno dopo. Si mettono d’accordo, ovvio, chissà quante Backdoor ha l’FBI..

Giovanni

non è possibile fare quello che lei ha scritto tramite dei semplici codici

Alberto

Certo che chi ha scaricato quelle app si merita lo spyware

Senzanima

Perché che ha Clamav che non va? Sono serio...

Giovanni Giorgi

Su iOS non devi neanche passare per lo store.

https:// youtu. be/ tR9U16krpXs

csharpino

Il fatto che la eSurv sia scomparsa e che abbiano completato tutti i ponti della Salerno-Reggio Calabria secondo voi è un caso?? Io non credo proprio...

Giovanni Giorgi

No, oggi si usano quasi ed esclusivamente software istallati sui dispositivi delle "vittime", come questo.

I protocolli sono quasi sempre criptati e ascoltare le telefonate dei dispositivi in prossimità, puoi anche farlo ma non puoi ricondurle all'identità dell'individuo. Non avrebbero nessuna validità legale.

È molto più comodo chiedere direttamente all'operatore di farlo. Legalmente si chiamano "prestazioni obbligatorie".

Stefano Ferri

Pro e contro . Se questo è uno dei vantaggi è un gran bel pro.

BoORD_L

no difatti non vendono in CINA e quindi devono sottostare alle leggi di stato

Max

Si ma il problema è che mille persone (a stare larghi) leggono il blog d ascoltano il consiglio, mentre milioni non lo fanno.

Max

Apple non passa nessun dato al governo cinese

Frank

La faccia di Zuckerberg dopo aver letto il titolo dell'articolo ed aver capito che sulle parole PER ERRORE non occorrevano le parentesi ma le virgolette. https://uploads.disquscdn.c...

mruser2

iOS è sempre stata avanti.. con FaceTime si poteva spiare lo stesso senza scaricare nulla

franky29

E chi? Sto cactus ?

franky29

Magari è perché appunto non criptato viene criptato grazie al server cinese XD

franky29

Questo perché L'Fbi non è nessuno ! Le backdoor le conosce solo L'NSA XD

Spider

Guarda che basta già digitare un codice per ascoltare le telefonate in prossimità, o quasi.

Poi ci sono i protocolli di comunicazione che non sono proprio il max della inviolabilità (questo perché chi comanda ha deciso così)

Infine ci sono le app per farsi gli affari degli altri.

Oggigiorno non è conveniente avere troppe amanti.

Spider

iOS è un sistema chiuso

cosmon560

Ma scusate, se questa app era liberamente scaricabile dal play store da chiunque, dove sta il famoso "filtro" che farebbe sì che ad essere spiati siano solo gli indagati e non tutti gli altri?

mingo84

I criminali saranno già andati a bussare alla porta di eSurv. Errore o non errore non so quanto sia stata buona l'idea di divulgare a tutto il mondo il nome della società e le modalità operative.
Se tutto va bene, gli sviluppatori dovranno trasferirsi, se tutto va male passeranno dall'altro lato della barricata finendo corrotti o costretti.
Si comprende quanto all'estero, per loro fortuna, siano lontani da certe logiche.

Fabrizio

Ammesso che Google sia stato informato di quali app si tratta, anche se fa troppo strano che non lo sia....

M3r71n0

magari
https://motherboard.vice.com/it/article/7xnyy9/malware-exodus-infettati-1000-italiani-app-nascosta-google-play-store

Vinicio Muchador

Tanto l'avvocato che fa dichiarazioni che l'articolo presentano inesattezze. La normativa che rigaurda le intercettazioni effettuabili, e soprattutto usabili in un processo, è cosí dettagliata e limitante che difatto le rende pressoché inutilizzabili. Consiglio la lettura del 266 e soprattutto del 266 bis del codice di procedura penale per capirne qualcosa

Philip

Si si prevenzione, ma non farmi ridere

nessuno29

L'uso cronico di cardioaspirina riduce il rischio di sviluppo di cancro colon retto :D

Kilani

Perdonami... Ti aspetti di poter attivare un telefono senza che quello faccia un controllo sulla scheda SIM? Ma sai almeno come funziona??

Cloud387

Infatti bisognerebbe come minimo mandare una mail o una notifica da playstore ad ogni utente.

Google è sicuramente in grado di farlo.

Sheldon Cooper

Qual è si scrive senza apostrofo.
Lo dico perché non vorrei che il tuo elevato livello culturale ne risentisse.

LordSheva

Come se fosse il motore e non le firme il "valore" degli antivirus.

Dampyr

aridaje co' sta Xiaomi... la "infili" in tutti i commenti,ma che interessi hai per portare avanti sta crociata?!? non credo tu lo faccia x altruismo...a che fare con l'esperienza "Stonex" tutto l'astio che covi nei prodotti cinesi e xiaomi in particolare?
quello di cui parli é sicuramente interessante ma è il modo con cui ti relazioni agl'altri che è borioso,arrogante e troppo lezioso,da professorino "so tutto io e voi non capite un caxx0!"...sii piu umile nel relazionarti con il prossimo e vedrai che svariate persone si interesseranno di piu a quello che dici...ovviamente tutto ciò ha senso se la tua "divulgazione"è mossa da puro spirito informativo...se invece ci sono dietro interessi personali, beh non sei tanto meglio dei blogger di questo sito che tanto insulti!
saluti

Stefano Ferri

Sono al corrente di molte di queste cose da te citate, però per quanto segua diverse testate mi capita più spesso di imbattermi in articoli con problemi su Android rispetto iOS , e non penso che i problemi di iid facciamo meno notizia, anzi .
Poi come scritto sarà un caso o sarà come L' entità superiore vuole ma è così .

Stefano Ferri

Nulla è inviolabile , se prendi di mira un dispositivo per mesi per nulla c' è scampo , qui parliamo di livelli molto bassi .

Stefano Ferri

Analfabetismo od d'altro ? Ho scritto " sarà quel che sarà " perché non credo nulla non potendolo sapere ma anche questo problema è stato trovato su Android , sarà casuale ma solitamente i problemi su Apple fanno notizia non penso non vengano fatti articoli in merito per disinteresse però ne trovò molti meno .

Stefano Ferri

Non credo niente però casualmente anche questo problema è su Android , come ho scritto se non siamo analfabeti " sarà quel che sarà " ma ancora qui siamo .

MariuxReloaded
Antonio Mariani

sarebbe meglio una cabina telefonica per quanto riguarda la sicurezza

takaya todoroki

Quindi, riassumendo, l'indispensabile antivirus è servito una volta sola in 6/7 anni e pure per un presunto (visto che non è verificabile, può essere benissimo un falso positivo) attacco.
Direi che ti sei risposto da solo ;)

Steen
Cerbero

No attenzione indipendentemente da ciò che può esser vero il linguaggio usato è altra cosa. In effetti il Signor Lorenzo Ori è molto poco professionale nel proporre una lettura differente....

Lorenzo Ori

Vogliamo parlare del kernel source rilasciato alla community (quella che citano ogni 3x2) con delle falle al suo interno segnalate e mai risolte ?

Vogliamo delle problematiche scovate durante l'evento pwn2own 2018 e che, devoni ancora essere applicate ?

Vogliamo parlare di Cheetah Mobile ?

Vogliamo parlare delle patch rilasciate da qualcomm e mai applicate ?

No, non si può perchè potrebbe far male alle finanze del blog; guai parlare male dei partner

Lorenzo Ori

Mi piacerebbe poter parlare in maniera approfondita di queste tematiche (non sono fazioso) dato che pur avendo Android seguo con molto piacere le risoluzioni di sicurezza applicate da Apple all'interno del suo software
Per questioni di cronaca devo dirti che il Google Project Zero Team ha trovato una vulnerabilità critica all'interno di un prodotto della casa di Cupertino che ovviamente è stato risolto senza nessun problema
Non esiste un software perfetto; le stesse macchine virtuali tanto decantate come sicure sono state hackerate durante l'evento PWN2OWN a Vancouver

Però ci dimentichiamo anzi si dimenticano di parlare di tutto lo schifo presente all'interno dei chinaphone perchè ovviamente portano soldi tramite sponsorizzazioni

Sul web è presente tutta l'informazione certificata che vuoi, basta sfruttarla

Leo

Ma è un pesce d'aprile?

Lorenzo Ori

@regia

1- HDBlog così come tutti gli altri blog si occupoa di copiare e tradurre gli articoli presenti su altri siti.
Non entro nel merito della competenza che è pari a zero (siamo tutti capaci di copiare una cosa senza conoscere il suo significato reale) ma, vogliamo parlare delle traduzioni che in certe occasionui apportano una differenza sostanziale in merito all'articolo originale ?

Quanti editoriali sono stati fatti nel corso del tempo ?

Qual'è il tasso di cultura che apporta questo blog che non fa altro che generare astio solamente per aumentare il numero di visite grazie al sistema di discussione Disqus

2- Un giornalista è una persona competente del settore che indipendentemente dall'articolo mantiene una linea comune visto che lui stesso prima di giornalista è un espero del settore.

Quì non vedo giornalisti a parte Riccardo che si è presentato ad un evento di CyberSec a Roma (rispetto per lui)

Per il resto faccio pubblicità ha dei bollettini di sicurezza rilasciati tramite un canale telegram no profit pagato dal sottoscritto perchè l'informazione deve essere

LIBERA e sopratutto non condizionata altrimenti prendiamo buono tutto e siamo aposto

Honor

Honor 20 e 20 Pro ufficiali: caratteristiche e prezzi | Video Anteprima

Android

Google sospende la licenza Android a Huawei dopo il ban di Trump: reazioni

Huawei

Recensione Huawei P Smart Z, full-screen e camera pop-up a 279 euro

Asus

Recensione Asus Zenfone 6: 5000mAh e Android Stock da 499 euro