Malware Android impersona Indeed: spyware e anti-uninstall tramite Accessibility

Il 26 agosto 2026 Malwarebytes ha pubblicato l'analisi di una campagna di app Android false che impersonano Indeed per condurre colloqui di lavoro. I ricercatori hanno identificato Trojan.Droppers in grado di installare spyware, prendere il controllo del dispositivo tramite permessi Accessibility e impedire la disinstallazione. La campagna ha colpito utenti in almeno tre paesi, con segnalazioni confermate da Regno Unito, Brasile e altri territori. Il vettore di attacco sfrutta un'intuizione crudele: la vulnerabilità psicologica dei cercatori di lavoro in mercati competitivi.

Il meccanismo: da colloquio fittizio a controllo totale

Il flusso di infezione documentato da Nazeeh Sulaiman, ricercatore Android Malware Researcher di Malwarebytes, segue una sequenza precisa. Le app, distribuite tramite sideloading manuale — mai attraverso Google Play — presentano un'interfaccia che imita il processo di colloquio di Indeed. Gli utenti vengono invitati a installare l'applicazione con messaggi di pressione come "Complete your interview by installing the Indeed app" e "Salary agreement available after app installation".

Una volta installata, l'app richiede l'inserimento dell'indirizzo email. Immediatamente dopo, stabilisce una connessione VPN. Malwarebytes specifica che questo comportamento "non prova che il traffico sia stato intercettato o modificato", ma documenta l'attivazione di un tunnel verso infrastrutture esterne prima che qualsiasi payload aggiuntivo venga scaricato.

Il passaggio crittico avviene con la richiesta dei permessi Android Accessibility Services. Questo permesso, progettato originariamente per l'inclusione di utenti con disabilità visive, consente all'app di "visualizzare il contenuto dello schermo" e "eseguire azioni per conto dell'utente". La fonte non specifica se l'utente riceva una spiegazione dei permessi richiesti o se l'attivazione avvenga tramite tecniche di ingegneria sociale aggiuntive.

La persistenza come arma: quando il dispositivo non è più tuo

Una volta ottenuti i permessi Accessibility, il malware implementa un meccanismo di persistenza particolarmente aggressivo. Quando l'utente tenta di disinstallare l'app accedendo alle Impostazioni Android e tappa "Uninstall", il malware forza il ritorno alla schermata precedente. Questo ciclo rende impossibile la rimozione attraverso le procedure standard dell'interfaccia utente.

Il controllo del dispositivo si estende oltre il semplice impedimento della disinstallazione. I permessi Accessibility permettono al malware di interagire con qualsiasi elemento dell'interfaccia, simulare tocchi, leggere notifiche e, potenzialmente, acquisire credenziali inserite in altre applicazioni. Il dossier non specifica la natura esatta dei dati raccolti dal spyware né la destinazione finale dei dati esfiltrati.

Un utente Reddit, citato da kobaran.com, ha riferito: "My phone was completely compromised and was advised to factory reset it by my bank as there were attempts to log me out". Questa testimonianza suggerisce che la compromissione possa estendersi a tentativi di accesso non autorizzato a servizi finanziari, anche se il dossier non documenta perdite economiche confermate. Kobaran.com riporta esplicitamente "no confirmed financial losses".

"Interviewing through Indeed's platform happens entirely in a browser and never requires downloading a special app. Any message asking a job seeker to download an app to participate in an interview is not legitimate." — Portavoce Indeed

L'ingegneria sociale dietro il codice: perché Indeed

La scelta di impersonare Indeed non è casuale. La piattaforma di recruiting è tra le più riconosciute globalmente, con posizionamento che attrace sia candidati junior che professionisti esperti. L'urgenza economica associata alla ricerca di lavoro crea una condizione psicologica che abbassa le difese di verifica: un colloquio imminente, la promessa di una retribuzione concordabile, la pressione di non perdere un'opportunità.

Indeed ha risposto con due comunicazioni ufficiali trasmettute attraverso Malwarebytes. Il secondo statement aggiunge: "Job seekers are at the heart of everything we do, and their safety and trust are a top priority. We are aware of scams involving individuals instructing job seekers to download an app to complete a virtual interview. These are in no way affiliated with Indeed". La distinzione tra impersonazione e compromissione della piattaforma è netta: i sistemi di Indeed non sono stati violati, il brand è stato utilizzato come maschera.

Heise, testata tecnica tedesca con traduzione assistita editorialmente, ha confermato indipendentemente i casi in Brasile, Regno Unito e "altri paesi", con gli stessi indicatori di compromissione (IOC) pubblicati da Malwarebytes. Questa convergenza tra fonti primarie separate geograficamente e linguisticamente rafforza la solidità della claim senza amplificarne arbitrariamente la portata.

Cosa fare adesso

• Verificare che qualsiasi invito a colloquio da Indeed indichi un URL del dominio indeed.com accessibile via browser, non richieda installazione di app esterne
• Controllare la presenza delle app installate tramite le Impostazioni Android e confrontare il package name con gli IOC pubblicati da Malwarebytes: i tre hash MD5 identificati sono D6B7F7C2514AC5AC93C5EB93E80EF317, 7796C6ADC5D9EC00EA41B80648329B37, 8EA8F77C03AC58ACC19C25DDC6D1CD48
• In caso di sospetta infezione con permessi Accessibility attivi, considerare il factory reset come misura di rimozione definitiva, dato che il malware blocca la disinstallazione standard
• Monitorare tentativi di accesso non autorizzato a servizi finanziari e bancari, segnalando alla propria istituzione eventuali anomalie post-compromissione

Oltre il singolo incidente: il sideloading come vulnerabilità strutturale

La campagna rivela un pattern che supera il caso Indeed. Heise colloca l'incidente in un trend più ampio, citando un dato storico di Zscaler: 77 app trojan Anatsa scoperte in Google Play Store con circa 19 milioni di installazioni un anno prima. La differenza qui è l'assenza persino dal negozio ufficiale: il sideloading manuale elimina qualsiasi filtro di Google Play Protect, spostando l'intero onere di verifica sull'utente.

Android permette l'installazione da fonti sconosciute per scopi legittimi — sviluppo, distribuzione interna aziendale, mercati regionali. Questa flessibilità, tuttavia, non può essere tecnicamente ristretta senza compromettere l'ecosistema aperto del sistema operativo. Il risultato è una vulnerabilità strutturale non risolvibile con patch o aggiornamenti, ma solo con consapevolezza dell'utente finale.

Il dossier non identifica il gruppo criminale dietro la campagna, né conferma se le app siano ancora distribuite attivamente al momento della stesura. Resta ignota anche la natura del payload spyware — sviluppato ad hoc o commodity malware — e l'esistenza di connessioni con campagne precedenti su LinkedIn o WhatsApp.

Il caso Indeed non è quindi solo un avvertimento su un brand specifico, ma un esempio di come l'intersezione tra urgenza economica, asimmetria informativa e abuso di servizi di accessibilità generi un vettore di attacco particolarmente resistente alle difese tecniche automatiche.

Fonti

• https://www.kobaran.com/scammers-are-hiding-android-malware-inside-fake-indeed-interview-apps/
• https://www.malwarebytes.com/blog/scams/2026/08/beware-of-fake-indeed-interview-apps-used-to-install-spyware
• https://malware.news/t/beware-of-fake-indeed-interview-apps-used-to-install-spyware/125084
• https://www.heise.de/en/news/Spyware-scam-targeting-Indeed-users-infected-interview-apps-11426688.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti