Come rimuovere Perseus dai dispositivi infetti

Che tipo di malware è Perseus?

Perseus è un malware per Android creato utilizzando parti di malware precedenti (come Cerberus e Phoenix) e potenziato con nuove funzionalità. Consente agli hacker di monitorare e controllare in tempo reale un dispositivo infetto. Il malware include potenti meccanismi di protezione per eludere il rilevamento e l'analisi da parte degli strumenti di sicurezza.

Perseo in dettaglio

Il codice sorgente del malware originale, Cerberus, è trapelato nel 2020, consentendo ad altri hacker di riutilizzarlo e modificarlo. Ciò ha portato alla comparsa di nuove famiglie di malware, come Ermac e Phoenix. Perseus si basa principalmente su Phoenix. Esistono due versioni del malware: una più vecchia e una più recente (che attualmente si sta diffondendo).

Uno utilizza l'inglese nel codice, mentre l'altro utilizza il turco. La versione inglese presenta funzionalità di sviluppo aggiuntive ed è stata probabilmente programmata utilizzando l'intelligenza artificiale, mentre la versione turca è più semplice e meno accessibile.

Valutazione dei dispositivi ed elusione dell'analisi

Perseus verifica se il dispositivo è un vero telefono o un ambiente di analisi/sandbox. Cerca elementi quali l'accesso come root, strumenti di debug, emulatori o impostazioni del dispositivo non autentiche. Verifica inoltre la presenza di caratteristiche realistiche quali una scheda SIM, app installate, sensori, comportamento della batteria, Bluetooth e Google Play Services. Condivide poi i risultati con i criminali informatici per decidere se vale la pena prendere di mira quel dispositivo.

Informazioni mirate

Perseus dispone di una funzione che gli consente di leggere le note memorizzate su un dispositivo infettato. A differenza dei malware tradizionali, che puntano principalmente al furto di password o messaggi, questo malware prende di mira le note personali, che possono contenere informazioni sensibili quali password o dati finanziari. In una delle sue versioni, utilizza un comando che individua le app per la creazione di note, le apre e ne esamina il contenuto.

Le app per prendere appunti interessate includono ColorNote Notepad Notes, Evernote - Note Organizer, Google Keep - Note e liste, Microsoft OneNote, Samsung Notes, Simple Notes, Simple Notes Pro e Xiaomi Notes (l'elenco potrebbe includere altre applicazioni). Per sottrarre informazioni dalle note, il malware sfrutta le funzioni di accessibilità di Android.

È in grado di navigare all'interno dell'app in questione, toccare gli elementi e tornare indietro. Ciò gli consente di aprire app per prendere appunti, leggere le note e registrare le informazioni senza che l'utente se ne accorga.

Altre funzionalità

Perseus supporta diversi comandi. Grazie a questo malware, i criminali informatici possono toccare, premere, digitare e scorrere sullo schermo, aprire app, tornare indietro e navigare nel telefono (schermata iniziale, app recenti, scorrimento, gesti). Possono inoltre digitare testo nei campi, modificare il testo e persino riattivare lo schermo se è spento.

Inoltre, gli hacker possono assumere il controllo del dispositivo da remoto avviando e interrompendo le sessioni di condivisione dello schermo in tempo reale (VNC e HVNC) e acquisendo schermate per vedere cosa sta facendo la vittima. Perseus consente inoltre agli autori delle minacce di nascondere la propria attività visualizzando una schermata nera e disattivando l'audio.

Inoltre, Perseus è in grado di bloccare o sbloccare app, avviare app e persino guidare l'utente nell'abilitazione di impostazioni quali l'installazione di app da fonti sconosciute. Può tentare di sbloccare il dispositivo utilizzando codici PIN o recuperare le informazioni di sblocco, oltre a registrare e riprodurre i gesti.

Inoltre, il malware è in grado di sottrarre informazioni modificando il contenuto degli appunti e accedendo alle autorizzazioni relative agli SMS. Può inviare notifiche, caricare o rimuovere funzionalità aggiuntive e verificarne lo stato.

Conclusione

Perseus è un malware per Android estremamente sofisticato in grado di assumere il controllo di un dispositivo e sottrarre informazioni riservate. La sua capacità di monitorare, controllare e nascondere la propria attività lo rende particolarmente pericoloso. Le vittime potrebbero subire conseguenze quali perdite finanziarie e furto d'identità. Se presente su un dispositivo, Perseus deve essere eliminato immediatamente.

Altri esempi di malware che prendono di mira gli utenti Android sono BeatBanker, Massiv e PromptSpy.

Come ha fatto Perseus a infiltrarsi nel mio dispositivo?

Gli utenti vengono infettati da Perseus principalmente scaricando app IPTV contraffatte da fonti esterne agli store ufficiali come Google Play. Queste app vengono spesso condivise sotto forma di file APK, che gli utenti installano manualmente, facilitando così la diffusione del malware.

Una volta installato, distribuisce di nascosto il malware utilizzando un dropper per aggirare le protezioni di sicurezza di Android.

Come evitare l'installazione di malware?

Scarica app e software da fonti affidabili, come siti web ufficiali o app store, e mantieni aggiornati il sistema operativo e le app. Evita di cliccare su finestre pop-up, annunci pubblicitari o link presenti su siti web sospetti e non accettare richieste di notifica da siti non affidabili.

Fai attenzione alle e-mail o ai messaggi inattesi: non aprire link o allegati a meno che tu non sia sicuro che siano sicuri. Utilizza regolarmente un software di sicurezza affidabile per eseguire la scansione del tuo dispositivo e individuare o rimuovere eventuali minacce.

Un dropper utilizzato per distribuire Perseus (fonte: threatfabric.com):

Menu rapido:

• Introduzione
• Come eliminare la cronologia di navigazione dal browser Chrome?
• Come disattivare le notifiche nel browser Chrome?
• Come ripristinare le impostazioni predefinite del browser Chrome?
• Come eliminare la cronologia di navigazione dal browser Firefox?
• Come disattivare le notifiche nel browser Firefox?
• Come ripristinare le impostazioni predefinite del browser Firefox?
• Come disinstallare le applicazioni potenzialmente indesiderate e/o dannose?
• Come avviare il dispositivo Android in "Modalità provvisoria"?
• Come verificare il consumo della batteria delle varie applicazioni?
• Come controllare il consumo di dati delle varie applicazioni?
• Come installare gli ultimi aggiornamenti software?
• Come ripristinare le impostazioni predefinite del sistema?
• Come disabilitare le applicazioni che dispongono di privilegi di amministratore?

Elimina la cronologia di navigazione dal browser Chrome:

Tocca il pulsante "Menu" (i tre puntini nell'angolo in alto a destra dello schermo) e seleziona "Cronologia" nel menu a tendina che si apre.

Tocca "Cancella dati di navigazione", seleziona la scheda "AVANZATE", scegli l'intervallo di tempo e i tipi di dati che desideri eliminare, quindi tocca "Cancella dati".

[Torna al Sommario]

Disattiva le notifiche nel browser Chrome:

Tocca il pulsante "Menu" (i tre puntini nell'angolo in alto a destra dello schermo) e seleziona "Impostazioni" nel menu a tendina che si apre.

Scorri verso il basso fino a visualizzare l'opzione "Impostazioni sito" e toccala. Scorri verso il basso fino a visualizzare l'opzione "Notifiche" e toccala.

Individua i siti web che inviano notifiche tramite browser, toccali e clicca su "Cancella e ripristina". In questo modo verranno revocate le autorizzazioni concesse a questi siti web per l'invio di notifiche. Tuttavia, quando visiterai nuovamente lo stesso sito, potrebbe chiederti nuovamente l'autorizzazione. Puoi scegliere se concedere o meno queste autorizzazioni (se scegli di rifiutarle, il sito web verrà spostato nella sezione "Bloccati" e non ti chiederà più l'autorizzazione).

[Torna al Sommario]

Ripristina il browser Chrome:

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "App" e toccala.

Scorri verso il basso fino a trovare l'applicazione "Chrome", selezionala e tocca l'opzione "Spazio di archiviazione".

Tocca "GESTISCI SPAZIO DI MEMORIA", poi "CANCELLA TUTTI I DATI" e conferma l'operazione toccando "OK". Tieni presente che il ripristino del browser comporterà l'eliminazione di tutti i dati in esso memorizzati. Ciò significa che verranno cancellati tutti gli accessi e le password salvati, la cronologia di navigazione, le impostazioni personalizzate e altri dati. Dovrai inoltre effettuare nuovamente l'accesso a tutti i siti web.

[Torna al Sommario]

Elimina la cronologia di navigazione dal browser Firefox:

Tocca il pulsante "Menu" (i tre puntini nell'angolo in alto a destra dello schermo) e seleziona "Cronologia" nel menu a tendina che si apre.

Scorri verso il basso fino a visualizzare "Cancella dati privati" e toccalo. Seleziona i tipi di dati che desideri eliminare e tocca "CANCELLA DATI".

[Torna al Sommario]

Disattiva le notifiche nel browser Firefox:

Visita il sito web che invia le notifiche del browser, tocca l'icona visualizzata a sinistra della barra degli indirizzi (l'icona non sarà necessariamente un "Lucchetto") e seleziona "Modifica impostazioni sito".

Nella finestra pop-up che si apre, seleziona l'opzione "Notifiche" e tocca "CANCELLA".

[Torna al Sommario]

Ripristina il browser web Firefox:

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "App" e toccala.

Scorri verso il basso fino a trovare l'applicazione "Firefox", selezionala e tocca l'opzione "Spazio di archiviazione".

Tocca "CANCELLA DATI" e conferma l'operazione toccando "ELIMINA". Tieni presente che il ripristino delle impostazioni di fabbrica del browser comporterà la cancellazione di tutti i dati in esso memorizzati. Ciò significa che verranno eliminati tutti gli accessi e le password salvati, la cronologia di navigazione, le impostazioni personalizzate e altri dati. Dovrai inoltre effettuare nuovamente l'accesso a tutti i siti web.

[Torna al Sommario]

Disinstallare le applicazioni potenzialmente indesiderate e/o dannose:

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "App" e toccala.

Scorri verso il basso fino a individuare un'applicazione potenzialmente indesiderata e/o dannosa, selezionala e tocca "Disinstalla". Se, per qualche motivo, non riesci a rimuovere l'app selezionata (ad esempio, viene visualizzato un messaggio di errore), prova a utilizzare la "Modalità provvisoria".

[Torna al Sommario]

Avvia il dispositivo Android in "Modalità provvisoria":

La "Modalità provvisoria" del sistema operativo Android disattiva temporaneamente l'esecuzione di tutte le applicazioni di terze parti. L'utilizzo di questa modalità è un ottimo modo per diagnosticare e risolvere vari problemi (ad esempio, rimuovere applicazioni dannose che impediscono agli utenti di farlo quando il dispositivo funziona "normalmente").

Premi il pulsante "Accensione" e tienilo premuto finché non compare la schermata "Spegni". Tocca l'icona "Spegni" e tienila premuta. Dopo pochi secondi apparirà l'opzione "Modalità provvisoria" e potrai avviarla riavviando il dispositivo.

[Torna al Sommario]

Controlla il consumo della batteria delle varie applicazioni:

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "Manutenzione dispositivo" e toccala.

Tocca "Batteria" e controlla il consumo di ciascuna applicazione. Le applicazioni legittime/autentiche sono progettate per consumare il meno possibile, al fine di garantire la migliore esperienza utente e risparmiare energia. Pertanto, un consumo elevato della batteria potrebbe indicare che l'applicazione è dannosa.

[Torna al Sommario]

Controlla il consumo di dati delle varie applicazioni:

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "Connessioni" e toccala.

Scorri verso il basso fino a visualizzare "Utilizzo dati" e seleziona questa opzione. Come per la batteria, le applicazioni legittime/autentiche sono progettate per ridurre al minimo il consumo di dati. Ciò significa che un consumo eccessivo di dati potrebbe indicare la presenza di un'applicazione dannosa. Tieni presente che alcune applicazioni dannose potrebbero essere progettate per funzionare solo quando il dispositivo è connesso a una rete wireless. Per questo motivo, è consigliabile controllare sia l'utilizzo dei dati mobili che quello Wi-Fi.

Se trovi un'applicazione che consuma molti dati anche se non la usi mai, ti consigliamo vivamente di disinstallarla il prima possibile.

[Torna al Sommario]

Installa gli ultimi aggiornamenti software:

Mantenere aggiornato il software è una buona pratica per garantire la sicurezza del dispositivo. I produttori rilasciano costantemente varie patch di sicurezza e aggiornamenti Android per correggere errori e bug che potrebbero essere sfruttati dai criminali informatici. Un sistema non aggiornato è molto più vulnerabile, motivo per cui dovresti sempre assicurarti che il software del tuo dispositivo sia aggiornato.

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "Aggiornamento software" e toccalo.

Tocca "Scarica gli aggiornamenti manualmente" e verifica se sono disponibili aggiornamenti. Se sì, installali immediatamente. Ti consigliamo inoltre di attivare l'opzione "Scarica gli aggiornamenti automaticamente": in questo modo il sistema ti avviserà non appena verrà rilasciato un aggiornamento e/o lo installerà automaticamente.

[Torna al Sommario]

Ripristina le impostazioni predefinite del sistema:

Eseguire un "Ripristino delle impostazioni di fabbrica" è un ottimo modo per rimuovere tutte le applicazioni indesiderate, ripristinare le impostazioni di sistema predefinite e ripulire il dispositivo in generale. Tuttavia, è necessario tenere presente che tutti i dati presenti nel dispositivo verranno cancellati, incluse foto, file video/audio, numeri di telefono (memorizzati nel dispositivo, non nella scheda SIM), messaggi SMS e così via. In altre parole, il dispositivo verrà riportato al suo stato iniziale.

È inoltre possibile ripristinare le impostazioni di sistema di base e/o semplicemente le impostazioni di rete.

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "Informazioni sul telefono" e toccala.

Scorri verso il basso fino a visualizzare "Ripristina" e toccalo. Ora scegli l'azione che desideri eseguire:
"Ripristina impostazioni" - ripristina tutte le impostazioni di sistema ai valori predefiniti;
"Ripristina impostazioni di rete" - ripristina tutte le impostazioni relative alla rete ai valori predefiniti;
"Ripristino dati di fabbrica" - ripristina l'intero sistema ed elimina completamente tutti i dati memorizzati;

[Torna al Sommario]

Disattiva le applicazioni che dispongono di privilegi di amministratore:

Se un'applicazione dannosa ottiene privilegi di amministratore, può causare gravi danni al sistema. Per garantire la massima sicurezza del dispositivo, è consigliabile verificare sempre quali app dispongono di tali privilegi e disattivare quelle che non dovrebbero averli.

Vai su "Impostazioni", scorri verso il basso fino a visualizzare "Schermo di blocco e sicurezza" e toccalo.

Scorri verso il basso fino a visualizzare "Altre impostazioni di sicurezza", toccala e poi tocca "App amministratore del dispositivo".

Individua le app che non dovrebbero disporre dei privilegi di amministratore, toccale e poi tocca "DISATTIVA".

Domande frequenti (FAQ)

Il mio dispositivo è stato infettato dal malware Perseus: devo formattare il dispositivo di archiviazione per eliminarlo?

La cancellazione completa del dispositivo è uno dei modi più efficaci per rimuovere il malware. Tuttavia, questa operazione comporta la perdita di tutti i dati (se non è stato effettuato un backup). Si consiglia di provare innanzitutto a rimuovere Perseus con uno strumento come Combo Cleaner.

Quali sono i problemi più gravi che il malware può causare?

Il malware può causare gravi problemi, come il furto di dati personali, l'assunzione del controllo del dispositivo, il danneggiamento o la cancellazione di file, nonché perdite finanziarie o furti di identità.

Qual è lo scopo di Perseus?

Lo scopo di Perseus è quello di sottrarre informazioni sensibili. Consente agli hacker di monitorare il dispositivo, intercettare gli input dell'utente e accedere a dati personali quali appunti, password e messaggi. È inoltre in grado di assumere il controllo completo del dispositivo da remoto e di nascondere la propria attività alla vittima.

Come ha fatto Perseus a infiltrarsi nel mio dispositivo?

Gli utenti vengono infettati da Perseus principalmente scaricando app IPTV contraffatte da fonti esterne agli store ufficiali come Google Play. Queste app vengono solitamente distribuite sotto forma di file APK. Una volta installate, viene utilizzato un dropper per installare di nascosto il malware e aggirare le protezioni di sicurezza di Android.

Combo Cleaner mi proteggerà dal malware?

Sì, Combo Cleaner è in grado di rilevare e rimuovere la maggior parte delle infezioni da malware conosciute. Tuttavia, i malware più sofisticati possono nascondersi in profondità nel sistema. Ecco perché è necessario eseguire una scansione completa del sistema per garantire il rilevamento e la rimozione.