Trojan di Stato o captatori informatici installati a distanza. Come funzionano?

Dopo il caso Palamara del 2019 sono sorte curiosità sui Trojan di Stato (detti anche 'captatori informatici') introdotti dal DL 216/2017. In particolare ci si chiede se siano davvero installabili a distanza in un telefono cellulare senza che l'utente se ne accorga. In questo blog parleremo di Trojan professionali per gli enti di intelligence, quindi nulla a che vedere con le App Spyphone acquistabili online. Si tratta di soluzioni molto sofisticate che vengono impiegate quando ci sono interessi miliardari, questioni di sicurezza nazionale o ipotesi di gravi reati. 

Il primo passo per tentare l'inoculazione di un Trojan a distanza consiste nell'identificazione e nello studio del cellulare target per individuare delle vulnerabilità, cioè delle falle nella sicurezza del sistema operativo del cellulare (o delle App installate nel cellulare) che siamo sfruttabili allo scopo.

Quasi in disuso sono invece le tecniche di 'social engineering' (dette anche 'tre click'), cioè instaurare contatti a distanza con la vittima per convincerla ad installare una App apparentemente innocua nel suo cellulare. In questo caso la vittima deve fornire delle conferme all'installazione. Ma l'accresciuta consapevolezza sui rischi informatici e le ripetute segnalazioni dei sistemi operativi quando si installano delle App hanno reso molto improbabile che qualcuno cada in nel tranello.

I vettori privilegiati (ma non unici) per l'inoculazione a distanza dei Trojan sono le vulnerabilità di categoria 'overflow'. Più avanti vedremo meglio cosa sono. Ad es. un prodotto molto professionale che può essere inoculato a distanza sfruttando queste vulnerabilità è il 'Pegasus NSO' nelle sue numerose varianti. Pegasus nasce in Israele da ex tecnici del Mossad e viene usato da varie organizzazioni mondiali di intelligence soprattutto per l'antiterrorismo e la sicurezza nazionale. Nel 2025 è balzato agli onori delle cronache anche il Trojan professionale 'Graphite', inoculato nei cellulari di alcuni giornalisti e attivisti di spicco nel settore dell'immigrazione. Così come Pegasus, anche Graphite è inoculabile a distanza con tecnica 'zero click', detta anche modalità silente. Va detto che in molti casi non è una tecnica davvero silente perchè l'utente riceve una chiamata o una videochiamata, oppure apre un video, un'immagine o un link apparentemente innocui. Questo consente agli attacker di stabilire un canale di contatto con il cellulare (detto 'Socket') per installare una App spia sfruttando determinate vulnerabilità. Tuttavia l'utente non nota nessuna installazione e nessuna anomalia, non riceve nessuna notifica dal sistema operativo e non deve fornire nessun permesso all'applicativo indesiderato.

Ecco come si presenta concretamente un attacco Pegasus NSO. In questo caso gli attacker hanno scelto di aprire un canale di contatto con il cellulare inviando dei banali SMS con link all'attivista saudita per i diritti umani Ahmed Mansoor. L'attivista viene invitato a leggere un articolo su argomenti che lo interessano. In realtà, se il link fosse stato cliccato dal Sig. Ahmed, sarebbe partita anche l'installazione nascosta del Trojan Pegasus mediante il download in background di decine di piccoli file GIF che sarebbero stati gestiti dal sistema operativo del cellulare come allegati all'SMS. Ma il Sig. Ahmed si è insospettito, non ha aperto il link e lo ha fatto esaminare da una società statunitense specializzata in cyber security. Anche in questo caso emerge l'importanza della prima forma di difesa che da sempre ribadiamo nelle pagine di questo blog: la conoscenza dei rischi e la consapevolezza.

Per sfatare il falso mito dell'insicurezza di Android va detto che negli ultimi anni ci sono state vulnerabilità sia nei sistemi operativi IOS che nei sistemi operativi Android. Ad esempio alcuni Trojan recenti hanno sfruttato le vulnerabilità dell'iMessage di Apple.

Servizi tecnici e difesa elettronica. Vedi...