Due app false sono sfuggite al Google Play Store questo mese e insieme hanno raccolto più di 600.000 download.
Mi sento strano perché un ecosistema sicuro faceva parte dell’argomentazione a favore di Play Protect e del sistema di verifica di Google. A quanto pare, non è poi così diverso dall’avere un sistema o un sideloading.
Gli sviluppatori ora caricano facilmente software dannoso e ne traggono profitto. Ma in pochi tocchi eviterai di diventare una vittima grazie a questi controlli pre-download delle app sul tuo Telefono Android.
Le app ora sono non verificate da Google e approvate dai truffatori
A questo punto, sono il gateway di sicurezza di me stesso
Negli ultimi giorni ho visto un duplicato di Google Chrome con 100.000 download e un’app WhatsApp che avrei giurato fosse l’originale. Questo non è un problema nuovo.
Nel 2012, una contraffazione di Super Mario Bros. e un’imitazione di Grand Theft Auto sono rimaste nel Play Store per oltre due settimane. Come riportato da NBC News, hanno ottenuto lo stesso volume di download nonostante lo screening di Google.
Viene da chiedersi se la verifica di Google sia ancora efficace. Normalmente, uno sviluppatore deve creare un account Google Play Console. Quindi carica la loro app sul Play Store.
Il costo è di $ 25, dopodiché lo sviluppatore configura l’elenco con descrizioni e schermate.
Lo sviluppatore deve inoltre dichiarare quali dati raccoglie l’app, caricare l’app bundle, eseguire test, applicare una classificazione dei contenuti, impostare i prezzi e quindi pubblicare. Successivamente, la revisione della produzione richiede dai tre ai sette giorni.
Penseresti che un’app falsa non dovrebbe passare perché la dichiarazione sulla sicurezza dei dati deve corrispondere allo scopo dell’app. Ironicamente, Google ammette che il suo processo di revisione lo è non progettato per verificare le dichiarazioni.
Quindi, tutti coloro che scaricano app sono in balia di questo sistema di falso onore. Inoltre, contributi sensibili, inclusi app finanziarie e sanitarie, sottoposti a revisione automatizzata a meno che non sia necessario l’intervento umano.
È chiaro perché non puoi lasciare la verifica dell’app interamente all’azienda.
Chiamo le app con il loro nome
Risalire alla fonte aiuta
La prima cosa che dici a un cretino è il nome dello sviluppatore. Nella pagina delle informazioni del software, toccare Informazioni su questa app. Quindi scorrere verso il basso fino a Offerta di per vederlo.
In alternativa, tocca il nome per aprire il suo profilo e vedere le altre app che ha pubblicato. Ad esempio, Chrome proviene da Google LLC e toccandolo viene visualizzata la pagina della raccolta. La copia del browser è arrivata da Hizbartech.
Effettua un controllo incrociato delle app con il sito Web ufficiale, se ne esiste uno. Si collega sempre alla scheda dello Store legittima.
Inoltre, Google non consentirà l’esistenza di due app con lo stesso nome di pacchetto e lo sviluppatore non potrà modificare il nome dopo averlo impostato.
Se tentano di impersonificarlo, il sistema lo rifiuta perché lo spazio dei nomi è occupato. Tuttavia, ciò non impedisce ai malintenzionati di utilizzare sottili variazioni dei caratteri, soprattutto nei nomi dei pacchetti.
Utilizzato il duplicato di WhatsApp com.AgmentAssetssallu.DeadPixelTriPulse invece di com.whatsapp. Il sistema automatizzato potrebbe averlo approvato perché ha rilevato una stringa distinta.
Vai a Impostazioni > App e tocca qualsiasi app. Il nome del pacchetto è in alto sotto Informazioni sull’app.
La pesca al gatto dell’app mi spaventa
Farsi ingannare da un’interfaccia utente scritta male è inspiegabilmente imbarazzante
Gli sviluppatori professionisti garantiscono che tutto corrisponda agli standard del loro marchio perché la loro reputazione dipende da questo. Gli sviluppatori imprudenti commettono errori sciatti.
A volte, un imitatore ha un marchio identico e appare persino come risultato di ricerca sponsorizzato.
Quindi, leggo le descrizioni ad alta voce o leggo all’indietro, frase per frase, per cogliere frasi o grammatica innaturali che il mio cervello correggerebbe automaticamente.
Confrontando gli elenchi emergono numeri clamorosi. Ad esempio, il vero WhatsApp è stato creato nel 2010 e conta oltre 10 miliardi di download, 241 milioni di recensioni e una valutazione di 4,6 stelle.
Il falso ha avuto oltre 500.000 download, senza recensioni né valutazioni. Un rapido aumento di così tanti download in poche settimane è un segnale di allarme, che suggerisce un posizionamento a pagamento piuttosto che una popolarità.
I truffatori comunemente gonfiano questa metrica perché gli annunci acquistano installazioni più velocemente del passaparola. Di conseguenza, le recensioni e le valutazioni sono tra i parametri più compromessi negli app store di oggi.
Le persone ora usano l’intelligenza artificiale per scrivere in massa commenti falsi. Nel 2024, DoubleVerify ha trovato più del triplo di app con recensioni false basate sull’intelligenza artificiale rispetto allo stesso periodo del 2023.
Google ha bloccato 160 milioni di valutazioni e recensioni di spam solo nel 2025. I falsi sono solitamente recensioni generiche a cinque stelle che esagerano l’utilità dell’app.
Controllo principalmente le recensioni negative o a tre stelle. I revisori retribuiti raramente si preoccupano di loro perché abbassano le valutazioni e lavorano contro il truffatore. Controllerei anche le dimensioni dell’app.
Gli strumenti di codifica basati sull’intelligenza artificiale contengono librerie pesanti, quindi i truffatori che creano copie con l’intelligenza artificiale possono spedire un sacco di cose. Un’app sospettosamente piccola potrebbe anche essere una shell.
È un wrapper WebView che carica un sito Web all’interno di un frame dell’app. Una volta installato sul telefono, scarica il carico utile reale come aggiornamento o plug-in.
I trojan bancari come Anatsa hanno raggiunto gli utenti del Play Store in questo modo. Era nascosto all’interno di lettori PDF e file manager dall’aspetto innocuo. La revisione controlla solo il contenuto caricato, quindi non è in grado di individuare il download successivo.
Le app ottengono punti bonus di sospetto se sono in accesso anticipato insieme a questi segnali di allarme. Vedrai un Accesso anticipato etichetta ma nessuna recensione.
Google li blocca in modo che gli sviluppatori possano verificare la presenza di bug senza compromettere la loro valutazione e il feedback rimane privato. Ma i truffatori lo sfruttano per mettere a tacere le vittime.
Spio le app prima che loro facciano me
È l’esodo dalla mia routine di auditing
Google ha rimosso brevemente l’elenco delle autorizzazioni dal Play Store nel 2022 e lo ha restituito dopo che le persone si sono lamentate. La maggior parte delle persone scopre i requisiti dell’app solo quando il popup lo richiede dopo l’installazione.
Nel Play Store, apri l’elenco di un’app e tocca Informazioni su questa app. Scorri verso il basso fino a Informazioni sull’app e tocca Vedi di più accanto Autorizzazioni dell’app. Vedrai tutto ciò di cui l’app ha bisogno per funzionare correttamente e sono raggruppati per categoria.
Prestare attenzione anche a Altro group in fondo perché la maggior parte delle autorizzazioni rischiose si nascondono lì. Cerco le app su Sito web sulla privacy di Exodus.
È una directory senza scopo di lucro con codice disponibile pubblicamente su GitHub per la revisione. Scarica gli APK dal Play Store e ne legge i permessi. Quindi confronta il loro codice con un elenco di firme di tracker conosciute.
Non è necessario accedere o installare nulla. Tuttavia, rileva solo i tracker presenti nel suo elenco e potrebbe perdere quelli nuovi o personalizzati. Trattatelo come una parte del vostro processo di audit, non come una soluzione completa.
In caso di dubbi, disinstallare
Anche dopo questi controlli, evita le app di cui non sei ancora sicuro. Non ignoro mai il mio istinto perché ho avuto troppi incontri ravvicinati con i trojan.
Controllo anche le app installate. Di tanto in tanto collego il telefono al PC tramite USB e controllo il codice dell’app con Visual Studio Code e Gemini.
Un APK mod conservava i dettagli della mia sessione, l’ID utente e la cronologia delle attività in file non crittografati che chiunque avesse il mio telefono poteva leggere. La sua cache riempiva rapidamente anche la mia memoria in background.
Era tra software che ho eliminato di recente dal mio telefono.
