Attenzione al falso aggiornamento di Chrome: questo malware è un subdolo spyware

DragonDoll è un malware Android scoperto da Positive Technologies e individuato in almeno 26 Paesi. Si diffonde tramite falsi aggiornamenti di Google Chrome e può ottenere ampi privilegi sullo smartphone, rubando password, PIN, SMS e conversazioni da WhatsApp, Signal e Telegram, oltre a consentire il controllo remoto del dispositivo.

Gli esperti di Positive Technologies hanno scoperto un nuovo malware chiamato DragonDoll, che attacca gli utenti Android in almeno 26 paesi. Il software dannoso si maschera come un aggiornamento di Google Chrome e, una volta installato, ottiene quasi il controllo totale dello smartphone infetto, rubando conversazioni, password e PIN.

Gli studiosi hanno notato per la prima volta DragonDoll nella primavera del 2026 durante l’analisi di un attacco contro utenti dell’Arabia Saudita, e nei due mesi successivi sono riusciti a identificare circa 150 campioni di questo malware.

Di solito, l’infezione inizia con un sito di phishing che sembra una pagina ufficiale di Google Chrome. Alla vittima viene comunicato che il suo browser deve essere aggiornato urgentemente e le viene proposto di scaricare un file APK. Generalmente, queste pagine sono adattate a diverse regioni: i ricercatori hanno trovato più di 30 versioni linguistiche, tra cui russo, ucraino, cinese, coreano e arabo.

Dopo l’avvio, il falso aggiornamento richiede il permesso di accedere a funzionalità speciali di Android, e una volta ottenuti i permessi necessari, DragonDoll installa in più fasi il modulo finale di spionaggio. Inoltre, la catena di caricamento è protetta dall’analisi: gli attaccanti danneggiano intenzionalmente gli header APK, utilizzano l’obfuscazione LLVM e verificano se il campione viene eseguito sotto un debugger (Frida o un altro).

Dopo l’installazione, DragonDoll può controllare quasi completamente lo smartphone infetto. Gli operatori del malware possono accendere e spegnere lo schermo, simulare tocchi e input di testo, fare screenshot, effettuare chiamate, leggere, inviare e cancellare messaggi SMS, gestire i contatti e cancellare la cronologia delle chiamate. Inoltre, il malware supporta VNC e può controllare l’interfaccia del dispositivo da remoto senza root.

Un’altra funzione di DragonDoll è l’uso di overlay che si sovrappongono a applicazioni legittime. Con questi, gli attaccanti possono intercettare i dati inseriti dall’utente, incluse password e PIN. Gli esperti ritengono che questo meccanismo possa essere utilizzato per simulare applicazioni bancarie e moduli di autenticazione.

DragonDoll prende di mira anche le conversazioni delle vittime. Ad esempio, il malware può estrarre chat, contatti, testo e orario di invio dei messaggi da Signal e WhatsApp, mentre per Telegram è previsto un ulteriore intercettazione dei testi delle notifiche. In Viber e altri messagger, il malware agisce in modo più semplice e raccoglie tutto il testo che “vede” sullo schermo.

Durante l’indagine, gli esperti hanno scoperto su GitHub un account utilizzato per aggiornare il codice di DragonDoll dal 6 marzo al 6 maggio 2026. In questo periodo, sono apparsi circa 150 campioni di malware, e i link dal repository portavano a una rete di siti di phishing con falsi aggiornamenti per Chrome. Non è ancora noto come e dove esattamente i malintenzionati abbiano diffuso i link a queste pagine.

Tutti i dati raccolti sul dispositivo, DragonDoll li cripta e li invia a un server di comando e controllo, con l’infrastruttura C2 del malware ospitata su un hosting russo non specificato.

«DragonDoll non sfrutta vulnerabilità di sicurezza, ma utilizza una funzione standard di Android a cui spesso ricorrono i malintenzionati proprio per i suoi ampi privilegi. Pertanto, è bene insospettirsi se un’applicazione appena installata richiede l’accesso a funzionalità speciali senza una ragione apparente: è una delle trappole più comuni del software spia. Gli aggiornamenti del browser e di altre applicazioni devono essere effettuati solo tramite negozi ufficiali come Google Play o dal sito del sviluppatore, e non seguendo i link a “aggiornamenti urgenti” provenienti da messaggi, pubblicità o finestre pop-up», commentano gli esperti del dipartimento Threat Intelligence del centro di sicurezza Positive Technologies.

Luigi Zullo

Ricercatore di sicurezza informatica con esperienza nell’analisi delle vulnerabilità, nella mitigazione del rischio cyber, nelle attività di red teaming ed ethical hacking e nella protezione di sistemi complessi. Specializzato in penetration testing e Threat Intelligence, contribuisce al rafforzamento della resilienza digitale di infrastrutture e reti aziendali.

Aree di competenza: Penetration Testing, Threat Intelligence, Red Teaming, Vulnerability Assessment, Incident Response