Sommario
Nel primo trimestre del 2025, esperti di cybersicurezza hanno rilevato una nuova e pericolosa variante del noto malware Android Triada, capace non solo di sottrarre criptovalute e credenziali dai messaggi, ma anche di manipolare le telefonate in tempo reale. Il rapporto pubblicato da Kaspersky mette in allarme il settore, soprattutto in Russia, dove sono stati segnalati oltre 2.600 casi di dispositivi infetti in appena due settimane.
La nuova forma di Triada: malware preinstallato nei firmware contraffatti
Diversamente dalle versioni precedenti, questa variante di Triada viene preinstallata nei firmware di smartphone falsificati, spesso venduti tramite canali non ufficiali a prezzi molto competitivi. Il malware risiede nel sistema framework, il che gli consente di iniettarsi in ogni processo del dispositivo, garantendo un controllo pervasivo e costante da parte dei criminali informatici.
Ciò che preoccupa maggiormente è che gli utenti potrebbero acquistare inconsapevolmente dispositivi compromessi. I negozi, in molti casi, non sono nemmeno a conoscenza del fatto che i modelli venduti siano già infetti, a causa di una compromissione della catena di fornitura.
Funzionalità avanzate: un arsenale completo per l’esfiltrazione e il controllo
Secondo Kaspersky, il trojan Triada presenta capacità operative straordinariamente estese, fra cui:
- Furto di account nei social e nei servizi di messaggistica, in particolare Telegram e TikTok;
- Invio e cancellazione silenziosa di messaggi WhatsApp e Telegram, rendendo difficile la tracciabilità delle azioni;
- Sottrazione di criptovalute tramite la sostituzione invisibile degli indirizzi dei portafogli digitali;
- Manipolazione dei numeri di telefono durante le chiamate, consentendo il reindirizzamento della comunicazione verso contatti scelti dai criminali;
- Monitoraggio delle attività del browser e sostituzione dei link di accesso ai servizi online;
- Controllo completo degli SMS, inclusa lettura, invio e cancellazione automatica;
- Invio di SMS premium a pagamento, senza il consenso dell’utente;
- Download e avvio remoto di nuove applicazioni malevole;
- Blocco delle connessioni di rete, in particolare per eludere sistemi antifrode e antivirus.
Monero e criptovalute tracciate: i guadagni della rete criminale
Il gruppo responsabile ha già monetizzato parte dell’attività malevola, con transazioni documentate per un totale superiore ai 270.000 euro in criptovaluta. Particolare attenzione è stata posta su Monero, un asset digitale molto apprezzato nei circuiti criminali per le sue qualità anonime e l’impossibilità di tracciarne i movimenti.
L’elemento tecnico: backdoor sistemica e crittografia invisibile
Kaspersky identifica il nuovo Triada come Backdoor.AndroidOS.Triada.z, classificandolo tra le minacce Android più pericolose in circolazione. La presenza del malware a livello di sistema, con esecuzione automatica in ogni processo, rende inefficace l’azione di gran parte degli strumenti di protezione convenzionali.
A livello operativo, Triada è in grado di modificare file critici del sistema, acquisire permessi elevati, e auto-aggiornarsi scaricando ulteriori moduli da server remoti. Le interazioni avvengono con connessioni crittografate, rendendo il traffico di comando e controllo difficile da individuare anche attraverso sistemi di analisi comportamentale.
Analisi forense e distribuzione geografica: il bersaglio è la Russia ma il rischio è globale
La maggior parte dei casi documentati proviene dalla Russia, ma le dinamiche di distribuzione – tramite store online internazionali – rendono il malware potenzialmente diffuso a livello globale, specialmente in contesti dove l’acquisto di smartphone a basso costo è incentivato. L’installazione nel firmware, avvenuta prima della distribuzione al cliente finale, è il segnale di una catena di approvvigionamento compromessa, probabilmente nella fase OEM.
Raccomandazioni di sicurezza: come difendersi dalla nuova versione di Triada
Gli esperti di Kaspersky raccomandano di:
- Acquistare smartphone esclusivamente presso distributori ufficiali, evitando marketplace informali;
- Installare immediatamente soluzioni antivirus affidabili al primo avvio del dispositivo, come Kaspersky Mobile Security, in grado di rilevare comportamenti anomali già a livello di sistema.
Il report fornisce anche evidenze statistiche: nei primi tre mesi del 2025, diverse migliaia di dispositivi in Russia risultano colpiti da minacce preinstallate. La crescita di questo fenomeno suggerisce che il problema sarà una delle principali sfide per la sicurezza mobile nel corso dell’anno.
