Cyberpediadi Brain
ITDEENESFR

Il sideloading su dispositivi mobili

Un'app installata fuori dagli store ufficiali può rubare password e SMS. Cosa vede il dipendente, come funziona, cosa fare.

In 30 secondi

Dove succede
Su un sito che chiede di installare un software, come un falso installer3, e su un dispositivo a cui l'attaccante accede fisicamente9.
Cosa vuole l'attaccante
Far installare un'app trappola, poi farle concedere ampi permessi per rubare credenziali e dati di messaggistica349.
Il riflesso
Installi solo dallo store ufficiale e rifiuti ogni richiesta di accessibilità o di amministratore del dispositivo che non ha cercato Lei stesso.
Se è già successo
Avvisi subito l'assistenza informatica e non inserisca alcuna password su quel telefono.

Di cosa si tratta

Su uno smartphone aziendale o personale, le app provengono normalmente da uno store ufficiale, come Google Play o l'App Store. In questa scheda, il sideloading indica l'installazione di un'app attraverso un canale diverso da quello store. Poiché i dispositivi mobili sono spesso configurati per accettare soltanto lo store autorizzato2, l'attaccante deve convincere la vittima a uscire da questo perimetro. MITRE descrive il metodo: distribuire un malware facendolo passare per un'applicazione legittima1.

Questa scheda adotta il punto di vista del dipendente. Le fonti citate qui sono le pagine tecniche di MITRE ATT&CK. Descrivono i metodi degli attaccanti su Android e iOS, ma non contengono statistiche sul sideloading.

Domande dirette

Che cos'è il sideloading?

È l'installazione di un'app senza passare dallo store autorizzato del dispositivo. MITRE osserva che i dispositivi mobili sono spesso configurati per consentire le installazioni solo da uno store autorizzato, come Google Play Store o Apple App Store2. Un attaccante che non riesce a collocarvi la propria app deve convincere la vittima a scaricarla altrove.

Lo store ufficiale protegge completamente?

Non completamente: MITRE descrive anche il caso in cui l'attaccante cerca di collocare l'app malevola in uno store autorizzato, il che ne permette l'installazione sui dispositivi presi di mira2. Le due pagine di MITRE su questo tema riportano un avviso di deprecazione, ma il loro contenuto descrive effettivamente entrambe le vie12.

Come viene indotto un dipendente a installare l'app?

Le fonti descrivono due stratagemmi. Il primo consiste nel far passare il software per un'applicazione legittima, integrandolo in un'app vera oppure imitandone l'aspetto1. Il secondo passa da un sito che invita a installare un software noto: il trojan Cerberus è stato distribuito da siti che spingevano l'utente a «install Adobe Flash Player» e scaricavano un APK malevolo3.

Quali autorizzazioni richiede l'app?

Le fonti citano i permessi di accessibilità e di amministratore del dispositivo. Alcune app malevole abusano dell'accessibilità di Android per sapere quale app è in primo piano4. Quanto ai permessi di amministratore, MITRE osserva che le app ne hanno molto raramente bisogno e consiglia agli sviluppatori di non ricorrere a questo livello di accesso5.

L'app installata resta visibile?

Non necessariamente. MITRE spiega che i sistemi mobili dispongono di interfacce per nascondere elementi come l'icona di un'app e che gli attaccanti le sfruttano in modo improprio6. La pagina sulla cattura dell'input invita gli utenti a diffidare dei permessi pericolosi, come l'accesso all'accessibilità7. Altri attaccanti sfruttano vulnerabilità del sistema per ottenere privilegi più elevati8.

Serve l'accesso fisico al dispositivo per infettarlo?

Nel caso documentato di BusyGasper, sì: questo spyware ha infettato le vittime tramite accesso fisico al dispositivo9.

1Nei panni dell'attaccante1 min

L'attaccante ha un ostacolo: il dispositivo è spesso configurato per accettare solo lo store autorizzato2. Gli serve un pretesto credibile e le fonti ne indicano uno: il nome e l'aspetto di un'app nota4. Nel caso di Cerberus, è un falso installer di Adobe Flash Player3.

Una volta installata l'app, il primo obiettivo è ottenere permessi. Cerberus può iniettare input per concedersi permessi aggiuntivi senza interazione dell'utente e per impedire la rimozione dell'app3. Seguono la raccolta dei dati e la discrezione: l'attaccante vuole leggere gli SMS, ottenere i contatti e l'elenco delle app, poi mostrare false schermate sopra le app che ha scelto3.

Le fonti descrivono anche attaccanti che prendono di mira il sistema stesso. Alcuni sfruttano vulnerabilità del sistema operativo per passare da un livello di accesso limitato ai privilegi di superutente (root)8. MITRE cita Pegasus per Android, che tenta di sfruttare vulnerabilità note di Android, e Pegasus per iOS, che sfrutta vulnerabilità di iOS8.

2Cosa si vede sullo schermo1 min

La vittima vede per prima la pagina o il messaggio che la invita a installare un software. Le fonti citate qui non descrivono l'avviso di installazione del dispositivo: questa fase non è quindi trattata in dettaglio.

Dopo l'installazione i segnali sono rari, per costruzione. MITRE spiega che i sistemi mobili offrono interfacce per nascondere elementi, come l'icona di un'app, e che queste interfacce hanno usi legittimi che gli attaccanti sfruttano in modo improprio6. Cerberus nasconde la propria icona dal drawer delle app dopo il primo avvio3. BusyGasper abbassa la luminosità dello schermo al minimo e disattiva l'audio quando è attivo9.

Il segnale più evidente è una falsa richiesta di inserimento dati. MITRE spiega che le app malevole imitano elementi dell'interfaccia di sistema per chiedere informazioni sensibili e che le dimensioni ridotte dello schermo di un dispositivo mobile rendono più difficile verificare il contesto4. Possono anche inviare false notifiche che aprono una richiesta quando vengono toccate4. Infine, una richiesta può comparire sopra un'app legittima4.

3Sotto il cofanoTeam IT1 min

Le fonti descrivono prima la sovrapposizione e l'accessibilità, poi la persistenza.

  • La sovrapposizione: l'app disegna una finestra sopra un'altra. Deve detenere il permesso SYSTEM_ALERT_WINDOW, che secondo MITRE viene concesso automaticamente, almeno in certe condizioni, alle app installate da Google Play4. Android 10 limita l'avvio di un'attività sopra un'altra app4. Android 12 aggiunge il permesso HIDE_OVERLAY_WINDOWS, che permette di nascondere queste finestre7.
  • L'accessibilità: un uso improprio permette di sapere quale app è in primo piano4. MITRE segnala inoltre app che registrano la pressione dei tasti o acquisiscono informazioni sui gesti sullo schermo7.
  • La persistenza: Cerberus disattiva Google Play Protect per evitare di essere scoperto e rimosso in seguito3. Può aggiornare il proprio codice su comando3.

MITRE precisa inoltre che l'isolamento delle app limita l'accesso ai dati di un'altra app, tranne in tre casi: archiviazione esterna non protetta, archiviazione interna con permessi poco sicuri od ottenimento dei privilegi root10.

4AutopsieCasi reali1 min

Cerberus, trojan bancario in affitto

Cerberus è un trojan bancario per Android il cui uso viene affittato su forum clandestini3. I suoi autori affermano di averlo usato in privato per due anni prima di metterlo in affitto3. I riferimenti della pagina MITRE comprendono un rapporto di ThreatFabric dell'agosto 2019 e un articolo del 16 agosto 2019 su falsi installer di Adobe Flash Player3. Il software poteva leggere gli SMS, ottenere i contatti e l'elenco delle app, generare false notifiche e lanciare attacchi di sovrapposizione contro le app scelte dall'attaccante3.

BusyGasper, spyware (dal maggio 2016)

BusyGasper è uno spyware per Android in uso dal maggio 20169. Sono note meno di dieci vittime, tutte apparentemente in Russia e tutte infettate tramite accesso fisico al dispositivo9. Può registrare l'audio e la fotocamera, copiare le foto e la cronologia del browser, leggere SMS e dati di WhatsApp, Viber e Facebook9. Il riferimento della pagina è un articolo di Alexey Firsh del 29 agosto 20189.

5Cosa fa Lei1 min
  • Installi solo dallo store ufficiale del dispositivo. Un invito a scaricare un file o un «installer» da un sito è sospetto, anche per un software noto3.
  • Rifiuti i permessi di accessibilità, di tastiera o di amministratore che un'app richiede senza un motivo chiaro. MITRE consiglia all'utente di diffidare dei permessi pericolosi o invasivi, come la registrazione di una tastiera o l'accesso all'accessibilità7.
  • Tenga il telefono bloccato e a portata di mano: un caso documentato comincia con un accesso fisico9.
  • Aggiorni il sistema: alcune protezioni, come le restrizioni di Android 10 e di Android 12, dipendono dalla versione47.
  • Su un dispositivo gestito, l'azienda può limitare i servizi di accessibilità consentiti con un elenco esplicito, tramite uno strumento di gestione dei dispositivi (EMM o MDM)7.
6Le insidie1 min

Lo store ufficiale non è una garanzia completa2. Un'app malevola può inoltre nascondere la propria icona, per cui l'assenza di un'icona sospetta non prova nulla6. MITRE scrive che questo tipo di tecnica non si contrasta facilmente con controlli preventivi, poiché abusa di funzioni del sistema6.

Un'impostazione di sicurezza che cambia senza un Suo intervento è un segnale: Cerberus disattiva Google Play Protect3. In questo caso, o se un'app sconosciuta chiede permessi estesi, contatti l'assistenza.

Scheda

Identificativo
CP-093
Ala
1. Attacchi e tecniche
Competenza Brain
Proteggere i dispositivi (secure_devices)
Riflesso Brain
cr-071
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
10 fonti verificate il 3 novembre 2026
Fonti10 fonti
  1. MITRE ATT&CK, «Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1444/ (consultato il 3 novembre 2026)
  2. MITRE ATT&CK, «Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1475/ (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Cerberus, Software S0480 | MITRE ATT&CK®». https://attack.mitre.org/software/S0480/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/002/ (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1626/ (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1628/ (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/ (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultato il 3 novembre 2026)
  9. MITRE ATT&CK, «BusyGasper, Software S0655 | MITRE ATT&CK®». https://attack.mitre.org/software/S0655/ (consultato il 3 novembre 2026)
  10. MITRE ATT&CK, «Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1409/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Il sideloading su dispositivi mobili», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/

BibTeX 
@misc{brain_cp093_it_2026,
  author = {Brain},
  title = {Il sideloading su dispositivi mobili},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0