Come controllare se lo smartphone contiene malware

Stai usando il telefono come sempre, poi la batteria inizia a scaricarsi rapidamente, compaiono finestre pubblicitarie sulla schermata Home e nell'elenco delle app trovi qualcosa che non ricordi di avere installato.

Non dimostra automaticamente la presenza di malware. Gli smartphone si comportano in modo strano anche quando la memoria è piena, un’app funziona male o un aggiornamento crea problemi. Ma questi sintomi meritano un controllo.

Parti dalle spiegazioni più banali. Poi cerca eventuale malware.

Segnali da prendere sul serio

Un solo sintomo raramente basta. Un insieme di segnali è più significativo.

Il consumo della batteria è un buon punto di partenza. Apri la sezione Batteria nelle Impostazioni e controlla l’utilizzo per app. È normale che un’app di navigazione consumi molto dopo un lungo viaggio. Non lo è che uno scanner di codici QR scarichi la batteria durante la notte.

Controlla anche i dati mobili. Nelle Impostazioni cerca Utilizzo dati. Sui dispositivi Samsung si trova di solito nella sezione Connessioni. Un malware che carica dati, scarica annunci o comunica con un server di comando deve usare traffico di rete.

Le finestre pubblicitarie che compaiono fuori dall’app che le ha generate sono un segnale più serio. Gli annunci dentro un gioco gratuito sono fastidiosi. Gli annunci sovrapposti alla schermata Home, alla schermata di blocco o alle Impostazioni indicano spesso adware.

Le app sconosciute sono un altro indizio chiaro. Apri Impostazioni > App e scorri l’elenco completo. Cerca nomi generici, icone vuote, utility quasi duplicate, app chiamate per esempio “System Service” che chiaramente non provengono dal produttore, oppure qualsiasi elemento installato quando sono iniziati i problemi.

Calore e rallentamenti possono contare, ma non interpretarli troppo in fretta. Il telefono può surriscaldarsi per segnale debole, un’app bloccata, ricarica al sole o una batteria guasta. Il malware è una possibilità, non la spiegazione predefinita.

Avvia una scansione con Google Play Protect

Gli smartphone Android certificati da Google con Google Mobile Services includono Google Play Protect. Apri Google Play Store > icona del profilo > Play Protect, quindi avvia la scansione.

Verifica che Analizza le app con Play Protect sia attivo. Se installi app da fonti esterne al Play Store, attiva anche Migliora il rilevamento di app dannose, così Google può analizzare più a fondo le app sconosciute.

Play Protect controlla le app durante l’installazione e analizza periodicamente il dispositivo anche in seguito. Google dichiara che il servizio analizza 200 miliardi di app Android al giorno e può avvisarti, disattivare un’app o rimuoverla automaticamente se risulta dannosa.

È la prima scansione da avviare. Non è perfetta, ma è integrata nel sistema e controlla anche le app installate da fonti esterne.

Controlla le autorizzazioni sospette

Apri Impostazioni > Sicurezza e privacy > Privacy > Gestione autorizzazioni. Su alcuni telefoni trovi le autorizzazioni anche in Impostazioni > App, dentro la scheda della singola applicazione.

Controlla fotocamera, microfono, posizione, contatti, SMS, telefono, file e contenuti multimediali. La domanda è semplice: questa app ha bisogno dell’autorizzazione per svolgere il proprio compito?

Un’app di messaggistica che usa il microfono ha senso. Una calcolatrice con accesso agli SMS no. Un’app per sfondi con accesso alle funzioni di accessibilità è un segnale d’allarme, a meno che non abbia una funzione molto specifica che conosci e comprendi.

Revoca ciò che sembra sbagliato. Se l’app smette di funzionare perché hai rimosso un’autorizzazione che non avrebbe mai dovuto richiedere, disinstallala.

Controlla le installazioni recenti e le app esterne

Gran parte del malware Android parte dall’installazione di un’app. Può trattarsi di un’app dannosa scaricata da un sito, di un falso avviso di aggiornamento, di un APK modificato o di un’app problematica sfuggita ai controlli di uno store.

Apri Google Play Store > icona del profilo > Gestisci app e dispositivo > Gestisci, quindi ordina le app in base agli aggiornamenti o alle installazioni recenti. Confronta l’elenco con il momento in cui sono iniziati i sintomi.

Esamina con più attenzione le app installate da fonti esterne. Su molti telefoni recenti, la schermata con le informazioni dell’app mostra da dove proviene. Se la fonte è un browser, un gestore di file, un’app di messaggistica o un programma di installazione sconosciuto, considerala più rischiosa.

Non conservare file APK soltanto perché sono stati difficili da trovare. È così che ci si convince a tenere software poco affidabile.

Usa la modalità provvisoria

La modalità provvisoria avvia Android con le app di terze parti disattivate. Se finestre pubblicitarie, surriscaldamento o strani comportamenti in background scompaiono, è probabile che la causa sia un’app scaricata.

Su molti telefoni puoi tenere premuto il pulsante di accensione, poi tenere premuta l’opzione di spegnimento sullo schermo e scegliere la modalità provvisoria. Sui Samsung questo metodo in genere funziona allo stesso modo. Alcuni marchi usano una combinazione di tasti diversa, quindi consulta le istruzioni del tuo modello se l’opzione non compare.

Resta in modalità provvisoria abbastanza a lungo da verificare il sintomo. Poi riavvia normalmente e disinstalla una alla volta le app recenti o sospette.

Parti dalle app installate da fonti esterne, poi passa alle utility che richiedono accesso facilitato, accesso alle notifiche, amministrazione del dispositivo, SMS o autorizzazione a comparire sopra altre app.

Se un’app non si lascia disinstallare

Alcune app dannose cercano di rendere più difficile la rimozione richiedendo privilegi di amministrazione del dispositivo o accesso alle funzioni di accessibilità.

Cerca “app di amministrazione del dispositivo” nelle Impostazioni. Disattiva i privilegi di amministrazione per qualsiasi app sospetta, poi prova di nuovo a disinstallarla.

Controlla anche la sezione Accessibilità nelle Impostazioni e rimuovi l’accesso alle app che non dovrebbero averlo. Le funzioni di accessibilità sono potenti perché possono leggere il contenuto dello schermo e interagire con l’interfaccia. I gestori di password e gli strumenti dedicati all’accessibilità possono avere un motivo valido per usarle. Un’app di pulizia, no.

Dopo la rimozione, avvia di nuovo Play Protect.

Cambia le password dopo un’infezione reale

Se hai trovato un’app chiaramente dannosa, non fermarti alla disinstallazione.

Cambia le password degli account usati sul telefono, soprattutto email, banca, social media, archiviazione cloud e gestore di password. Fallo da un dispositivo pulito, se possibile.

Se l’app aveva accesso agli SMS, considera esposti anche i codici monouso. Se aveva accesso alle funzioni di accessibilità, presumi che potesse osservare più di quanto suggerisca il semplice elenco delle autorizzazioni.

Ripristina i dati di fabbrica quando non puoi fidarti del risultato

Un ripristino dei dati di fabbrica elimina quasi tutto il malware Android perché cancella le app installate dall’utente e i relativi dati. Prima salva foto, messaggi e file, ma non ripristinare in seguito lo stesso identico insieme di app.

Dopo il ripristino, reinstalla manualmente le app da Google Play. Evita di recuperare APK sconosciuti o vecchi backup delle applicazioni.

In rari casi, un malware può sopravvivere sfruttando accessi a livello di sistema o componenti preinstallati dal fornitore, ma non è la situazione normale per un consumatore. Se i problemi restano dopo il ripristino su un telefono vecchio e fuori supporto, sostituire il dispositivo è la soluzione più realistica.

Come ridurre il rischio in futuro

Mantieni aggiornate le patch di sicurezza Android. Installa le app da Google Play o da un’altra fonte affidabile. Lascia attivo Play Protect. Diffida dei link ad APK ricevuti nei messaggi, dei falsi avvisi del browser e delle finestre “aggiorna subito questa app” che non provengono dal Play Store o dal sistema di aggiornamento del telefono.

E se un sito sostiene che il tuo smartphone è infetto e ti chiede di toccare un pulsante, chiudi la scheda. È una truffa, non una diagnosi.