Non tutti gli sviluppatori possono rivelarsi persone affidabili: è quanto specificato in una lettera, inviata dalla FTC ad alcuni developers Android non meglio identificati, che farebbero uso all’interno delle proprie creazioni di un sistema di promozione pubblicitaria particolare che potenzialmente potrebbe rivelarsi uno spyware, capace di interagire con smartphone e tablet e di prendere possesso del microfono – captando ogni conversazione effettuata – dell’IMEI del cellulare e di molti altri dati personali.
Una vulnerabilità non di poco conto se un organo importante come la Federal Trade Commission si è sentita in dovere di ammonire gli sviluppatori e di non abusare della propria autorità mettendo in pericolo la privacy degli utenti: siete pronti a scoprire tutto quello che occorre sapere su SilverPush?
Che cos’è SileverPush
SilverPush era salito agli onori della cronaca solamente qualche mese fa, quando l’agenzia indiana Center for Democracy and Technology (CDT) aveva diffuso un report riguardo l’utilizzo improprio che poteva essere fatto di questa tipologia di banner pubblicitario – solo nominalmente, dato che si tratta a tutti gli effetti di uno spyware.
SilverPush viene infatti utilizzato solitamente da agenzie pubblicitarie e compagnie di ricerca per sincronizzare i dati degli utenti con i propri sondaggi per ottenere informazioni più precise riguardo le proprie campagne informative – Nielsen abitualmente fa uso di una tecnologia simile, ma con l’esplicito consenso dell’utente. Il vero problema è però emerso nel momento in cui la CDT ha rilevato la presenza dell’SDK di SilverPush in almeno 30 applicazioni, fortunatamente la maggior parte delle quali disponibili solo in India o in Asia orientale, le quali sono capaci di assorbire le informazioni personali dell’utente e di inviarle a server dedicati, i quali inoltre provvederebbero a visualizzare sullo schermo dello smartphone interessato persino pubblicità invasive.
Come SilverPush spia gli utenti
SilverPush è considerato uno spyware a tutti gli effetti dato che le informazioni che provvede a collezionare ed inviare a server esterni risultano essere troppo sensibili e lesive della privacy degli utenti. Ma nei fatti come può un sistema di promozione pubblicitaria diventare così intrusivo?
SilverPush sfrutta un sistema molto complesso di iterazione tra accessori e device tecnologici che vede il proprio perno e punto d’inizio nelle comunicazioni svolte via Smart TV e radio: i ricercatori del CDT hanno infatti rilevato come SilverPush rimanga inattivo per la maggior parte del tempo, mantenendo sotto controllo però le comunicazioni esterne percepite dal microfono del device, che è in grado di controllare grazie ai permessi richiesti dall’app in cui è integrato. Nel momento in cui però viene registrata la presenza di segnali acustici la cui frequenza può variare tra i 18kHz ed i 19.95kHz (molto vicini agli ultrasuoni e dunque impercettibili per l’orecchio umano) e che solitamente viene trasmessa da radio e televisioni, SilverPush provvede ad inviare al proprio server di riferimento tutte le informazioni personali possibili dello smartphone tra cui il codice IMEI, la posizione GPS, la versione del sistema operativo e persino l’identità dell’utente in possesso del dispositivo.
Ogni frequenza viene identificata come una lettera dell’alfabeto le quali vanno poi a formare ordini precisi che lo spyware esegue diligentemente; potenzialmente gli autori di SilverPush potrebbero aver creato persino un software che generi automaticamente tali codici sonori da inviare via radio, ma probabilmente un uso così esagerato degli ultrasuoni risulterebbe visibile nel comportamento di cani e altri animali sensibili a frequenze così acute.
Al contempo però SilverPush rimane in attesa di ulteriori informazioni: l’obiettivo finale dello spyware non è soltanto la collezione di informazioni sensibili, ma anche e soprattutto la visualizzazione non richiesta di pubblicità invasive sullo schermo del device le quali, se cliccate o tappate, possono persino re-indirizzare l’utente a nuove e pericolose minacce.
Come difendersi da SilverPush
Riguardo SilverPush non sono disponibili difese sicuramente effettive: nei fatti sembra che tale software sia utilizzato da una decina di sviluppatori che lo avrebbero integrato volutamente all’interno di 30 applicazioni, per lo più concentrate nel settore indiano e asiatico del Play Store.
SilverPush è inoltre – teoricamente – illegale in Europa e negli USA, ma ciononostante la FTC si è sentita in dovere di avvisare i developers responsabili e di metterli in guardia sull’uso improprio che potrebbero farne; la dipendenza poi da radio e televisioni lo rende facilmente controllabile e la stessa FTC ha dichiarato che in nessun programma o spot pubblicitario saranno permessi segnali ad ultrasuoni che non siano stati primariamente controllati dagli organi preposti. Naturalmente la FTC ha giurisdizione solamente negli USA, mentre si attendono ancora segnali da parte delle autorità europee a riguardo.
Scopri QUI come capire se un malware si è installato sul proprio smartphone, e come fare per liberarsene!
Vorresti scrivere per AppElmo? Mettiti in gioco: stiamo cercando collaboratori! Scrivi a myjob@appelmo.com, e dai un’occhiata QUI per le modalità di contatto. Non essere timido!
Se non volete perdervi nè le prossime News sulla Sicurezza nè gli altri articoli di AppElmo (e sappiamo che non volete), allora potete iscrivervi alla nostra newsletter inserendo il vostro indirizzo email nel form qui in basso (tranquilli, vi assicuriamo che non vi invieremo spazzatura o spam; in caso contrario, vi saremmo immensamente grati se ci segnalaste il problema).
Oppure potete seguirci sulla nostra pagina Facebook, sul nostro account Twitter, sulla nostra pagina Google Plus, sulla nostra rivista Flipboard e sul nostro canale Telegram oppure, in alternativa, potete sempre scaricare la nostra app da Google Play, cliccando QUI o sull’immagine nella sidebar! Grazie mille!
