Non è una falla di sicurezza, ma una vera e propria backdoor, quella scoperta a bordo di ben 120mila smartphone del marchio statunitense BLU. La società di sicurezza Kryptowire ha individuato nei giorni scorsi la presenza sui telefoni del produttore di una porta di accesso secondaria, pensata per metterli in comunicazione con speciali server situati in Cina e inviare laggiù messaggi di testo, registri delle chiamate e altre informazioni sensibili.

Il brand di Miami si dichiara però una vittima della situazione: la società colpevole di aver sviluppato il software malevolo in effetti non è direttamente BLU, ma la Shanghai AdUps Technologies, un’azienda cinese che offre a diversi produttori soluzioni software personalizzate per l’aggiornamento automatico dei loro dispositivi, ovvero i sistemi che normalmente notificano l’utente finale che c’è una nuova versione del sistema operativo disponibile, la scaricano, riavviano il telefono e la installano.

È proprio all’interno di questa piattaforma che risiede la minaccia.

Installata direttamente nel firmware del dispositivo, la backdoor approfitta della sua posizione privilegiata per collezionare dati e comunicare con l’esterno eludendo completamente i controlli non solo dell’utente, ma anche di Android. Neppure gli antivirus riescono a individuare il problema, basandosi sull’assunto, in questo caso errato, che il software preinstallato all’interno del dispositivo sia da considerarsi innocuo.

Secondo Kryptowire, la versione di AdUps in questione rimane in costante comunicazione con una batteria di server incaricati di ammassare i dati provenienti dagli smartphone sotto controllo. Messaggi di testo completi e registro delle chiamate in entrata e in uscita vengono spediti ogni 72 ore, mentre informazioni sull’utilizzo delle app e sulla localizzazione partono una volta al giorno. Non solo: il software può ottenere i numeri IMSI e IMEI del telefono, eseguire arbitrariamente app già installate e fare molto altro; su richiesta dalla centrale di comando può perfino aggiornarsi e installare nuove app sullo smartphone.

BLU dichiara di avere già corretto il problema, che secondo Shanghai AdUps Technologies sarebbe nato da un equivoco: non è infrequente che il suo software (presente su più di 700 milioni di dispositivi) venga utilizzato per collezionare dati generici a scopi diagnostici e pubblicitari, ma funzioni così aggressive sono attivate di norma soltanto su esplicita richiesta dei produttori, generalmente di smartphone destinati al solo mercato cinese. La versione speciale del firmware sarebbe dunque finita per sbaglio sui prodotti BLU in un caso che, come ha dichiarato l’avvocato del produttore al New York Times, rappresenterebbe “un errore di una società privata” piuttosto che un caso di sorveglianza governativa di massa.

Leggi anche

Vuoi ricevere aggiornamenti su questo argomento?

Segui

nbsp

• Get
  Livefyre
• FAQ

This opera is licensed under a Creative Commons Attribution-NonCommercial-NoDerivs 3.0 Unported License.

  tech News, Technology News