Probabilmente pensi alla sicurezza del tuo telefono proprio come pensi alla porta di casa: finché scarichi app dal Play Store, sei al sicuro. E, in linea di massima, è vero. Google controlla le app prima che vengano pubblicate.
Ma alcune app arrivano sul tuo telefono senza mai passare dal Play Store.
Prendiamo ad esempio Albiriox, un trojan bancario “as-a-service” scoperto alla fine dello scorso anno. Si tratta di un trojan di accesso Android (RAT) Android progettato per commettere frodi direttamente sul dispositivo. Anziché limitarsi a rubare nomi utente e password, esegue transazioni fraudolente direttamente sul telefono della vittima. I ricercatori hanno scoperto che si diffondeva tramite app con nomi generici come “utilità”, “sicurezza”, “rivenditore” o “investimenti”, che le vittime non ricordavano di aver installato dal Play Store. Queste app erano state invece installate tramite sideload, scaricate tramite link contenuti in messaggi di testo o installate da siti web non sottoposti al processo di revisione di Google.
Questo è esattamente il tipo di minaccia Malwarebytes Android è progettato per rilevare. Ecco una panoramica dei diversi livelli di protezione che operano dietro le quinte.
Vorrei ringraziare Egor Tashchilin, Malwarebytes dello sviluppo software Malwarebytes , per aver condiviso le sue competenze tecniche, che hanno contribuito alla stesura di questo articolo.
Scaricare ciò che non è mai stato pubblicato sul Play Store
Le app installate al di fuori del Play Store non vengono mai sottoposte al processo di revisione di Google. Ciò significa che possono arrivare sul tuo dispositivo senza i controlli di sicurezza applicati alle app del Play Store.
Anziché basarsi sulla provenienza di un'app, Malwarebytes del dispositivo stesso, alla ricerca di programmi potenzialmente indesiderati (PUP) e altri file dannosi, indipendentemente dal fatto che siano stati installati tramite sideload, inclusi in pacchetti con altri software o scaricati tramite un browser.
Anche Play Store app possono diventare pericolose in seguito
Non tutte le minacce nascono con intenti malevoli.
In un caso ampiamente riportato dai media, un’app per la scansione dei codici a barre con circa 10 milioni di installazioni sul Play Store è stata infettata da codice dannoso non presente nelle versioni precedenti. L’aggiornamento utilizzava tecniche di offuscamento avanzate per eludere il rilevamento ed era firmato con lo stesso certificato digitale delle versioni precedenti non infette, risultando quindi del tutto legittimo. Una volta installato, provocava l’apertura automatica dei browser e reindirizzava gli utenti verso siti web indesiderati.
Un modello simile è emerso anche in altri casi relativi al Play Store monitorati dai ricercatori. Le app vengono aggiornate con codice dannoso molto tempo dopo l'installazione, proprio per eludere il rilevamento ed evitare di destare sospetti.
È proprio per questo che la Protezione in tempo reale (RTP) non si limita a monitorare le nuove installazioni, ma interviene anche sulle versioni delle app già presenti sul dispositivo che non sono state ancora sottoposte a scansione. L’RTP monitora le app appena installate, oltre a tutti i file nuovi o modificati presenti sul dispositivo. Se un’app esistente riceve una versione che non ha mai visto prima, l’RTP la considera come nuova e la sottopone a scansione, anziché dare per scontato che “già installata” significhi “ancora sicura”.
Consultare gli archivi senza toccarli
Inoltre, il malware non è sempre visibile a prima vista. I criminali informatici spesso nascondono i file dannosi all’interno di file ZIP e altri archivi, sperando che uno scanner di sicurezza non si prenda la briga di controllarne il contenuto.
Da noi è così.
Decomprime il contenuto dell'archivio per verificarne il contenuto senza modificare o alterare il file originale. L'archivio viene sempre e solo letto: non vi scriviamo mai nulla. Se qualcosa richiede un'analisi più approfondita, come un archivio annidato o il codice .dex compilato di un APK, viene estratto in una posizione temporanea isolata (sandbox) ed eliminato non appena la scansione è completata, in modo che non rimanga mai sul dispositivo.
Gli archivi non vengono tutti gestiti allo stesso modo. I file ZIP vengono esaminati voce per voce, mentre gli APK vengono sottoposti a un’analisi più approfondita del codice compilato che contengono. Anche gli archivi annidati vengono scansionati separatamente, in modo che il malware non possa semplicemente nascondersi a un livello più profondo.
Scansione approfondita, senza scaricare la batteria
Analizzare un'app in modo davvero approfondito — il suo codice, il suo comportamento e la sua struttura — richiede una notevole potenza di elaborazione. Se eseguita con poca attenzione, questa operazione può rallentare il telefono e consumare la batteria.
Malwarebytes progettato proprio per evitare che ciò accada.
Le scansioni automatiche in background, come quelle pianificate, quelle eseguite dopo l'aggiornamento di un'app o dopo un riavvio, verificano lo stato della batteria prima di iniziare. A seconda delle impostazioni, possono attendere fino a quando il telefono è in carica o dispone di energia sufficiente. Le scansioni manuali vengono sempre eseguite immediatamente.
All'avvio di una scansione, Malwarebytes regola Malwarebytes il proprio carico di lavoro in base alla potenza di elaborazione disponibile sul dispositivo, consentendo ai dispositivi più potenti di elaborare le operazioni in parallelo senza sovraccaricare quelli di fascia più bassa.
Un database delle minacce in continua evoluzione
Nella seconda metà del 2025 si è registrato un’impennata degli adware per dispositivi mobili, mentre le nuove famiglie di malware bancario sono diventate sempre più sofisticate. Alcune, addirittura, verificano se stanno girando su un telefono reale o all’interno di un ambiente di test di sicurezza prima di manifestare qualsiasi comportamento dannoso.
L'efficacia di uno scanner dipende dalla sua capacità di riconoscere ciò che deve cercare. Ecco perché aggiorniamo costantemente il nostro database di rilevamento con minacce appena identificate e verificate, anziché affidarci a un quadro statico e ormai superato del panorama delle minacce.
Oltre 10 scanner, che operano in sincronia
In realtà, Malwarebytes Android un unico motore di scansione, bensì da oltre 10 scanner specializzati, ciascuno progettato per rilevare diversi tipi e livelli di minacce.
Questo perché Android moderno raramente si basa su una sola tecnica. Un trojan bancario, ad esempio, può combinare l’uso improprio dei servizi di accessibilità con schermate di accesso fasulle sovrapposte alle app legittime di servizi bancari o di criptovalute.
Alcuni scanner ricercano indicatori noti di attività dannose, mentre altri esaminano la struttura, l’origine e il comportamento di un’app. Ulteriori livelli combinano più segnali e utilizzano l’analisi euristica per rilevare minacce più complesse o mai osservate in precedenza.
Grazie alla combinazione di più metodi di rilevamento, una tecnica che riesce a eludere un sistema di scansione ha maggiori probabilità di essere individuata da un altro.
E non ci fermiamo qui. I nostri ricercatori monitorano costantemente l’evoluzione Android e aggiungono regolarmente nuovi livelli di rilevamento e protezione. Man mano che gli hacker sviluppano nuove tecniche e trovano nuovi nascondigli, ci adattiamo continuamente per stare sempre un passo avanti.
I truffatori sanno più cose su di te di quanto tu creda.
Malwarebytes Mobile Security tiMobile Security dal phishing, dagli SMS truffaldini, dai siti dannosi e da molto altro ancora. Con la funzione Scam Guard integrata, basata sull'intelligenza artificiale e attiva in tempo reale.
