Crocodilus: il malware Android che inganna creando contatti falsi sul tuo smartphone

Crocodilus, il temuto malware Android, ha compiuto un ulteriore passo nella sua evoluzione, introducendo una funzionalità che manipola la rubrica dei dispositivi infetti. Ora è in grado di creare contatti falsi, simulando numeri di banche, familiari o altre fonti fidate, aumentando così l'efficacia delle sue truffe. Questo rappresenta una nuova minaccia per la sicurezza degli utenti Android, rendendo ancora più urgente adottare misure di protezione adeguate.

Da minaccia locale a pericolo globale

Lanciato originariamente in Turchia nel marzo 2025, secondo il report di Threat Fabric, Crocodilus si è rapidamente trasformato da una minaccia regionale a un problema globale. In pochi mesi, il malware ha esteso il suo raggio d’azione a tutti i continenti, guadagnandosi una reputazione come uno dei più sofisticati strumenti di attacco cibernetico.

Ciò che distingue Crocodilus è la sua combinazione di tecniche avanzate di ingegneria sociale e miglioramenti tecnici continui. Tra le sue tattiche più insidiose figurano falsi messaggi di errore che inducono gli utenti a fornire le chiavi dei loro portafogli di criptovalute, una strategia che ha già causato perdite significative a molte vittime.

Innovazioni tecniche sempre più sofisticate

Le ultime versioni di Crocodilus hanno introdotto innovazioni che ne aumentano la pericolosità e rendono più complesso il lavoro degli analisti di sicurezza. Una delle modifiche più significative è l'uso della compressione del codice nel componente dropper, combinata con un ulteriore strato di crittografia XOR per il payload principale. Questo rende estremamente difficile il reverse engineering del malware.

Un altro aspetto preoccupante è la capacità del malware di elaborare localmente i dati rubati prima di inviarli ai server dei criminali. Questo pre-processamento permette di raccogliere informazioni più precise e di ottimizzare le operazioni fraudolente, dimostrando l’elevato livello di sofisticazione tecnica raggiunto.

La nuova strategia della rubrica manipolata

La funzionalità più allarmante introdotta di recente è la manipolazione della rubrica del dispositivo infetto. Utilizzando l’API ContentProvider di Android, Crocodilus può inserire contatti falsi direttamente nel telefono della vittima. Questo consente ai criminali di far apparire le loro chiamate come provenienti da fonti legittime e affidabili, aumentando significativamente il successo delle loro truffe telefoniche.

Un aspetto particolarmente subdolo di questa tecnica è che i contatti fasulli rimangono confinati al dispositivo locale e non si sincronizzano con l’account Google dell’utente. Questo evita che la vittima sospetti qualcosa, poiché i contatti falsi non appaiono su altri dispositivi collegati.

Misure protettive essenziali

Per proteggersi da questa minaccia, gli esperti di cybersecurity raccomandano alcune misure fondamentali. È essenziale scaricare applicazioni solo da canali ufficiali come il Google Play Store e mantenere attivo il servizio Play Protect. Limitare il numero di applicazioni installate è un altro consiglio utile per ridurre la superficie di attacco potenziale.