Come funziona il Controllo app sospette di Applore, e i suoi limiti

Prima di cambiare qualcosa

Cosa confronta il controllo

Il Controllo app sospette di Applore esamina ogni app installata sul telefono e la confronta con una lista delle minacce in tre modi:

• il nome del pacchetto dell’app, l’ID univoco che ogni app Android ha, come com.example.app
• il certificato di firma dell’app, la firma digitale usata dal suo sviluppatore. Una corrispondenza qui vale anche se l’app è stata rinominata.
• l’impronta del file dell’app, un codice calcolato dal file di installazione dell’app sul tuo telefono. Corrisponde a una sola build esatta di un’app.

La lista delle minacce unisce diverse fonti pubbliche:

• gli indicatori di stalkerware pubblicati da Echap con licenza CC BY 4.0. Riguardano lo stalkerware, app vendute per monitorare di nascosto un’altra persona, e un insieme separato di watchware, app di monitoraggio come il controllo parentale o il tracciamento dei dipendenti, che di solito vengono installate apertamente.
• gli indicatori del Mobile Verification Toolkit (licenza MIT), che elencano app spyware commerciali documentate dai ricercatori.
• gli indicatori pubblicati da ESET (licenza BSD 2-Clause) per le app Android dannose.
• una breve lista curata da Applore, con ad esempio le app di test antivirus e i nomi dei prodotti stalkerware.

Le app dannose note non vengono mai riconosciute dal solo nome del pacchetto. Le app dannose ricompilate spesso riusano il nome di un’app popolare, quindi una corrispondenza sul nome potrebbe segnalare l’app autentica. Vengono riconosciute solo tramite il certificato di firma o l’impronta esatta del file.

Come la lista arriva sul tuo telefono. Una persona verifica ogni aggiornamento e lo pubblica a mano. Applore cerca una nuova lista firmata circa una volta al giorno quando il telefono è online. Controlla la firma e rifiuta qualsiasi file modificato, danneggiato o più piccolo del previsto, e in quel caso continua a usare la lista che ha già. Una copia è inclusa anche nell’app. La ricerca di un aggiornamento scarica un file e non invia nulla sulle tue app.

Nessuna di queste fonti è completa. Echap dichiara che i suoi indicatori non sono un elenco completo di stalkerware e che non c’è garanzia che siano accurati, e una nuova versione di un’app può comparire prima che una lista la includa. Per questo Applore cerca anche i segnali d’allarme.

I risultati di Google Play Protect

Se Google Play Protect è attivo, Applore gli chiede anche quali app installate segnala come dannose e le elenca indicando Play Protect come fonte. Play Protect è lo strumento di scansione di Google, integrato nei telefoni Android con Google Play. Se Play Protect è disattivato, o il telefono non ha i servizi Google Play, questa parte del controllo viene saltata e il resto prosegue. Quando Play Protect è disattivato, il Controllo app sospette mostra un avviso perché tu possa riattivarlo. Cosa controlla Google Play Protect spiega i suoi limiti.

I segnali di comportamento che Applore valuta

Per le app che non corrispondono alla lista, Applore valuta i segnali che le app di monitoraggio mostrano spesso. Ciascuno, da solo, è comune anche nelle app normali.

Essere installata fuori da uno store di app è una condizione di partenza, non una prova di per sé. Un’app installata da un file con un’icona visibile arriva ad Alto solo se un altro segnale forte lo conferma: un’icona nascosta, l’accesso sia all’accessibilità sia alle notifiche, un nome da app di sistema, un certificato di test per sviluppatori, oppure l’accesso ad almeno quattro tra microfono, fotocamera, posizione, messaggi, cronologia chiamate e contatti, insieme al permesso di restare attiva e di avviarsi con il telefono. Un registratore di chiamate che hai installato tu può sembrare quest’ultimo caso, quindi puoi segnarlo come affidabile.

Una copia di un’app popolare, da sola, è Merita attenzione: anche le versioni modificate e i download ufficiali dal sito di uno sviluppatore hanno questo aspetto. Arriva ad Alto solo con un’icona nascosta o con l’accesso all’accessibilità, alle notifiche o all’amministrazione del dispositivo.

Applore ignora le app di sistema e sé stessa. Le app installate dal firmware del produttore del telefono, come le app regionali o dell’operatore, vengono trattate come installazioni da uno store di app.

Cosa significano i livelli

Ogni app segnalata riceve uno di questi livelli, con le stesse parole dell’app:

App di monitoraggio conosciutaAltoMerita attenzioneNon segnalato

• App di monitoraggio conosciuta: il nome del pacchetto, il certificato di firma o l’impronta del file corrispondono a uno stalkerware noto della lista, oppure un’app di monitoraggio nota è stata installata da un file e nasconde la sua icona, oppure un’app esterna a uno store usa il nome di un prodotto stalkerware noto e può usare accessi sensibili.
• Alto: installata fuori da uno store di app con forti segnali d’allarme, come un’icona disattivata, o un’icona nascosta insieme all’accesso all’accessibilità, alle notifiche o all’amministrazione del dispositivo. Anche un’app che corrisponde a un’app dannosa nota per certificato o file, o che Google Play Protect segnala come dannosa, è Alto da qualunque parte provenga. Qui compare anche un’app di test antivirus, indicata come minaccia di test innocua.
• Merita attenzione: alcuni segnali d’allarme, oppure un’app di monitoraggio nota installata da uno store di app. Controllala quando hai un momento.
• Non segnalato: nessuna corrispondenza e segnali insufficienti. Non è una prova che l’app, o il telefono, siano a posto.

Dentro Applore, Informazioni su questa app spiega ogni risultato con parole semplici: cosa può vedere o fare l’app, da dove proviene, quando è stata installata e perché è stata segnalata.

App di monitoraggio e stalkerware

Le app per la famiglia, il controllo parentale e i dipendenti scaricate da Google Play sono indicate come app di monitoraggio, non come stalkerware. Di solito vengono installate apertamente e possono essere legittime, ma possono anche essere usate in modo improprio. Un’app installata da uno store di app può arrivare al massimo a Merita attenzione, a meno che non corrisponda alla lista delle minacce o che Play Protect la segnali. App di monitoraggio e stalkerware spiega la differenza.

Rimosse da Play: una lista separata

Applore mostra anche Rimosse da Play: le app installate che compaiono in una lista scaricata di app che Google ha rimosso da Google Play per motivi legati alle sue norme, soprattutto adware o frodi. Non è un controllo di spyware o malware, ed è tenuto separato dal Controllo app sospette. Non alza mai il livello di stalkerware di un’app e non invia mai un promemoria da solo.

Quando avvengono i controlli

Applore ti chiede il consenso prima di leggere l’elenco delle tue app per la prima volta. Dopo, i controlli avvengono:

• quando apri Applore
• in background secondo una pianificazione, con un nuovo controllo giornaliero di tutte le app installate
• quando vengono aggiunte o aggiornate app, man mano che Android segnala queste modifiche

Il risparmio energetico di Android può ritardare i controlli in background, quindi una nuova app potrebbe non essere controllata subito.

Se Applore trova un risultato App di monitoraggio conosciuta o Alto, te lo ricorda più tardi e di nuovo finché non intervieni: dopo circa un’ora, più tardi nello stesso giorno, il giorno dopo, poi ogni giorno per una settimana e in seguito ogni settimana. Scorrere via un promemoria non cancella il risultato. Un risultato è risolto quando l’app viene rimossa, oppure quando la segni come affidabile con il PIN o la sequenza del Blocco App. I risultati Merita attenzione compaiono nell’elenco senza promemoria.

Cosa non può fare Applore

Inoltre Applore non può vedere quali accessi speciali sono stati concessi a un’altra app per alcune impostazioni, come l’accesso ai dati di utilizzo o la visualizzazione sopra altre app. Può vedere solo che l’app li ha chiesti.

Alcuni tipi di monitoraggio sono fuori dalla portata di qualsiasi controllo delle app:

• impianti nel software di sistema del telefono o strumenti che richiedono un telefono con root
• attacchi che non hanno bisogno di nessuna app, come gli exploit zero-click
• lo spionaggio tramite un account o un servizio cloud condiviso o con accesso effettuato. Il Controllo sicurezza ti guida tra quelle impostazioni, ma non può esaminarle al posto tuo.
• il traffico di rete e l’inoltro di chiamate o messaggi impostato presso il tuo operatore

Cosa viene inviato e cosa no

• Il controllo avviene sul tuo telefono. Il rilevamento non carica nulla sulle tue app, e i risultati restano sul dispositivo.
• Gli aggiornamenti della lista delle minacce sono solo download. Applore scarica la lista firmata da applore.io. Come ogni richiesta web, questo mostra il tuo indirizzo IP al server, ma non contiene nulla sulle tue app.
• Play Protect viene interrogato sul telefono. Se Play Protect è attivo, Applore lo interroga tramite i servizi Google Play sul tuo telefono.
• Nessun nome di pacchetto va ai servizi di analisi. Gli eventi di analisi sul controllo contengono conteggi, non nomi di app.
• Un’eccezione, Categoria App. Quando apri Categoria App nel Gestore App, i nomi dei pacchetti vengono inviati al server di Applore per raggruppare le app per categoria. È una funzione separata, indicata nell’informativa sulla privacy.
• Il rapporto esce dal telefono solo se lo condividi. Un rapporto delle prove viene creato sul tuo telefono e lo lascia solo tramite il menu di condivisione di Android, verso la destinazione che scegli tu. Vedi condividere un resoconto di ciò che Applore ha trovato.

Chiedere supporto

L’app Applore include contatti di supporto per l’India, gli Stati Uniti e il Regno Unito, oltre a opzioni internazionali. Se vivi altrove, cerca una linea di aiuto contro la violenza domestica nel tuo paese. Linee di aiuto indica da dove cominciare. Se sei in pericolo immediato, chiama il numero di emergenza del tuo paese.

Per l’elenco dei dati e delle licenze di terze parti che Applore usa, vedi i crediti. Tutte le guide sulla sicurezza sono nella pagina delle guide sulla sicurezza.