Android, attacco zero-click da Chrome e GPU Adreno: chi rischia
Un’agenzia di sicurezza francese ha ricostruito una campagna che infettava telefoni Android senza alcun tocco della vittima. Bastava aprire una pagina web manomessa con Chrome per Android tra la versione 139 e la 145. Niente app da installare, niente permessi da concedere.
La ricerca è di Sekoia. L’attacco sfruttava due falle, entrambe già corrette: una nel browser e una nel driver della GPU Adreno di Qualcomm. Il payload, battezzato AndroSnitch, portava via cookie, credenziali salvate, cronologia e password delle reti Wi-Fi.
Come funziona l’attacco in due tempi
Il primo passo è CVE-2026-3910, un bug di Chrome che permetteva di eseguire codice dentro il browser. Da solo non basta: Chrome gira in una sandbox, un recinto che limita i danni. Il secondo passo serve a uscire dal recinto ed è CVE-2025-27038, una falla nel driver grafico Adreno.
Le GPU Adreno stanno dentro i chip Snapdragon, quindi il bersaglio erano i telefoni con hardware Qualcomm. Una volta fuori dalla sandbox il malware copiava cookie di Chrome, credenziali, cronologia e il file di configurazione Wi-Fi, che contiene le password delle reti usate. I cookie sono il bottino migliore: entrano in un account già autenticato senza conoscere la password.
Chi rischia davvero
La campagna ha colpito solo Chrome dalla 139 alla 145, saltando la 143 per motivi non chiariti. Il veicolo erano siti legittimi manomessi, copie taroccate di siti reali e un servizio ucraino di analytics compromesso, usato da migliaia di siti tra il 27 agosto e il 3 settembre.
Sekoia lega la campagna ad APT29, gruppo collegato ai servizi di intelligence russi. I bersagli suggeriscono diplomatici e persone legate alla guerra in Ucraina, non l’utente qualunque. Dettaglio curioso: l’exploit Android si fermava se riconosceva un Galaxy S25 Ultra, senza spiegazione nel report.
Due aggiornamenti, due strade diverse
Qui sta il punto pratico. La falla di Chrome si chiude dal Play Store e arriva in pochi giorni se gli aggiornamenti automatici sono attivi. La falla del driver GPU no: i driver Adreno arrivano solo con la patch di sicurezza mensile del produttore, quella che Samsung, Google o Xiaomi distribuiscono sul proprio calendario.
Un telefono fermo a patch vecchie resta esposto anche con Chrome aggiornato. È lo stesso meccanismo che decide la fine del supporto di un modello, come per il Galaxy S22 e le patch fino a febbraio 2027.
Tip. Per Chrome: tre puntini in alto a destra, Impostazioni, Informazioni su Chrome. Oltre la 145 sei sereno. Per il sistema: Impostazioni, Informazioni sul telefono, Informazioni su Android, Livello patch di sicurezza. Se la data è indietro di mesi, il telefono accumula falle già note.
iPhone non è fuori dai giochi
La stessa campagna ha colpito anche iOS. Una catena rubava i cookie da iOS 16 a 17.4, un’altra, chiamata DarkSword, prendeva messaggi, foto e password su iOS 18.5. Le campagne mirate passano da qualunque piattaforma con una falla aperta, come negli avvisi di spyware mandati da Apple a utenti in 99 Paesi.
Cosa fare adesso
Aggiorna Chrome dal Play Store e controlla la versione. Installa la patch di sicurezza più recente, ottobre o novembre se il produttore l’ha rilasciata.
Se il telefono non riceve più patch il rischio resta. Evita i link da messaggi ed email di sconosciuti e attiva la Navigazione protetta avanzata di Chrome, che segnala i siti sospetti prima che carichino. Il vettore erano siti compromessi e il browser resta la porta principale.
Sul fronte estensioni il copione è noto: 319 estensioni Chrome dirottavano le ricerche con 13,4 milioni di installazioni. Il browser è comodo e anche il punto più esposto del telefono.
Domande frequenti
Chrome aggiornato basta a mettermi al sicuro?
No. Servono entrambe le cose: Chrome oltre la 145 e la patch di sicurezza di ottobre o novembre, che chiude la falla del driver GPU.
Come faccio a sapere se il mio telefono ha una GPU Adreno?
Se il processore è uno Snapdragon di Qualcomm la GPU è quasi sempre Adreno. Il chip si legge in Impostazioni, Informazioni sul telefono, Processore. MediaTek, Exynos e Tensor non erano coinvolti in questa catena.
L’attacco installava app a mia insaputa?
Secondo il report no: il payload copiava solo dati. Il danno è l’accesso agli account, non un’app fantasma da cercare nel drawer.
Devo disinstallare Chrome?
No. Se il telefono non riceve più aggiornamenti di Chrome conviene passare a un browser che li riceve, ma la priorità resta la patch di sistema.
Cosa faccio se penso di essere stato colpito?
Cambia le password, partendo da email e banking. Poi chiudi le sessioni attive dai pannelli di sicurezza: i cookie rubati valgono finché la sessione resta valida.