Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
DragonDoll è un malware Android scoperto da Positive Technologies e individuato in almeno 26 Paesi. Si diffonde tramite falsi aggiornamenti di Google Chrome e può ottenere ampi privilegi sullo smartphone, rubando password, PIN, SMS e conversazioni da WhatsApp, Signal e Telegram, oltre a consentire il controllo remoto del dispositivo.
Gli esperti di Positive Technologies hanno scoperto un nuovo malware chiamato DragonDoll, che attacca gli utenti Android in almeno 26 paesi. Il software dannoso si maschera come un aggiornamento di Google Chrome e, una volta installato, ottiene quasi il controllo totale dello smartphone infetto, rubando conversazioni, password e PIN.
Gli studiosi hanno notato per la prima volta DragonDoll nella primavera del 2026 durante l’analisi di un attacco contro utenti dell’Arabia Saudita, e nei due mesi successivi sono riusciti a identificare circa 150 campioni di questo malware.
Di solito, l’infezione inizia con un sito di phishing che sembra una pagina ufficiale di Google Chrome. Alla vittima viene comunicato che il suo browser deve essere aggiornato urgentemente e le viene proposto di scaricare un file APK. Generalmente, queste pagine sono adattate a diverse regioni: i ricercatori hanno trovato più di 30 versioni linguistiche, tra cui russo, ucraino, cinese, coreano e arabo.
Dopo l’avvio, il falso aggiornamento richiede il permesso di accedere a funzionalità speciali di Android, e una volta ottenuti i permessi necessari, DragonDoll installa in più fasi il modulo finale di spionaggio. Inoltre, la catena di caricamento è protetta dall’analisi: gli attaccanti danneggiano intenzionalmente gli header APK, utilizzano l’obfuscazione LLVM e verificano se il campione viene eseguito sotto un debugger (Frida o un altro).
Dopo l’installazione, DragonDoll può controllare quasi completamente lo smartphone infetto. Gli operatori del malware possono accendere e spegnere lo schermo, simulare tocchi e input di testo, fare screenshot, effettuare chiamate, leggere, inviare e cancellare messaggi SMS, gestire i contatti e cancellare la cronologia delle chiamate. Inoltre, il malware supporta VNC e può controllare l’interfaccia del dispositivo da remoto senza root.
Un’altra funzione di DragonDoll è l’uso di overlay che si sovrappongono a applicazioni legittime. Con questi, gli attaccanti possono intercettare i dati inseriti dall’utente, incluse password e PIN. Gli esperti ritengono che questo meccanismo possa essere utilizzato per simulare applicazioni bancarie e moduli di autenticazione.
DragonDoll prende di mira anche le conversazioni delle vittime. Ad esempio, il malware può estrarre chat, contatti, testo e orario di invio dei messaggi da Signal e WhatsApp, mentre per Telegram è previsto un ulteriore intercettazione dei testi delle notifiche. In Viber e altri messagger, il malware agisce in modo più semplice e raccoglie tutto il testo che “vede” sullo schermo.
Durante l’indagine, gli esperti hanno scoperto su GitHub un account utilizzato per aggiornare il codice di DragonDoll dal 6 marzo al 6 maggio 2026. In questo periodo, sono apparsi circa 150 campioni di malware, e i link dal repository portavano a una rete di siti di phishing con falsi aggiornamenti per Chrome. Non è ancora noto come e dove esattamente i malintenzionati abbiano diffuso i link a queste pagine.
Tutti i dati raccolti sul dispositivo, DragonDoll li cripta e li invia a un server di comando e controllo, con l’infrastruttura C2 del malware ospitata su un hosting russo non specificato.
«DragonDoll non sfrutta vulnerabilità di sicurezza, ma utilizza una funzione standard di Android a cui spesso ricorrono i malintenzionati proprio per i suoi ampi privilegi. Pertanto, è bene insospettirsi se un’applicazione appena installata richiede l’accesso a funzionalità speciali senza una ragione apparente: è una delle trappole più comuni del software spia. Gli aggiornamenti del browser e di altre applicazioni devono essere effettuati solo tramite negozi ufficiali come Google Play o dal sito del sviluppatore, e non seguendo i link a “aggiornamenti urgenti” provenienti da messaggi, pubblicità o finestre pop-up», commentano gli esperti del dipartimento Threat Intelligence del centro di sicurezza Positive Technologies.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/