Svpeng e Chrome nel 2016: download automatico non significa installazione

Correzione del 31 ottobre 2026. Corretto il passaggio che confondeva download senza avviso, installazione dell’APK ed esecuzione del malware.

Nel 2016 Kaspersky descrisse una campagna del trojan Android Svpeng distribuita anche attraverso annunci pubblicitari su siti legittimi. Il meccanismo poteva provocare il download di un APK senza il normale avvertimento del browser. Analisi Kaspersky.

Tre passaggi, non uno solo

Scaricare un file, installare un'applicazione ed eseguirla sono eventi diversi. La ricostruzione Kaspersky spiega che il malware doveva ancora convincere la persona a installarlo, per esempio fingendosi un aggiornamento. La precedente affermazione sull'installazione automatica solo perché erano abilitate le origini sconosciute era sbagliata.

Anche i circa 318.000 utenti menzionati nel resoconto sono una misura della campagna osservata allora: non dimostrano che ogni dispositivo avesse completato tutti i passaggi dell'infezione.

Cosa insegna la falsa schermata antivirus

Un avviso dentro una pagina web non dimostra che il browser abbia rilevato un virus nel telefono. Non installare un APK proposto come cura da quella stessa pagina; controlla aggiornamenti e sicurezza dall'applicazione o dalle impostazioni ufficiali.

La vecchia scadenza annunciata per una patch non è una previsione ancora aperta. Questo è un caso storico sul confine fra vulnerabilità del download e ingegneria sociale, non una descrizione di ogni versione corrente di Chrome.