Spyware OctagonPanel si nasconde dietro falsa app di allerta civile del Bahrain

I ricercatori di Dream Research Lab hanno pubblicato il 20 luglio 2026 l'analisi di una campagna di sorveglianza mobile che sfrutta la paura da tensioni geopolitiche nel Golfo. L'app malevola, denominata "BH Alert", impersona l'applicazione di allerta civile del Bahrain Civil Defense e distribuisce un malware multi-stadio in grado di rubare credenziali, intercettare SMS e OTP, catturare screenshot e assumere il controllo remoto completo del dispositivo Android. La distribuzione avviene tramite pagine che clonano Google Play Store e siti governativi bahreiniti, sfruttando l'urgenza emotiva durante eventi di difesa aerea reale per indurre il sideloading.

Come funziona il trucco: emergenze reali, app false

Secondo la fonte citata, il meccanismo non richiede vulnerabilità zero-day né tecniche di exploit sofisticate. "During active air-defense events, official emergency-alert applications see sharp spikes in install demand", ha spiegato Dream Research Lab, "and fear does the rest". Le pagine malevoli presentano contenuti bilingue inglese/arabo che citano il Bahrain Civil Defense, il Ministry of Interior e riferimenti all'UNDRR per costruire falsa legittimità istituzionale.

L'utente che cerca l'app ufficiale durante un'allerta reale o percepita viene indirizzato a domini come download.alert-bh.com, download.bh-security.com, playgoogle.alertbh.com e bh-alert.com. Al click sul pulsante di installazione, viene scaricato un APK di circa 20 MB con delivery ritardata da timer, una tecnica che simula l'autenticità di un download da store ufficiale. La fonte non specifica il vettore di infezione iniziale preciso: il dossier indica probabile smishing e link su social media o messaging, senza confermare quale dei canali abbia prevalso.

Anatomia della catena a quattro stadi

La complessità architetturale del malware serve a eludere la rilevazione statica e a frammentare l'analisi forense. Lo Stage 0, denominato Ematterassist, contiene un payload RC4-encrypted camuffato da file font ZfChs.ttf: al caricamento, il loader decripta e inietta codice DEX nel processo dell'app. Lo Stage 1, con package com.kit.kitty, gestisce l'ingegneria sociale premendo sui meccanismi di autorizzazione Android. Lo Stage 2, Hvoicemanual, è una shell RC4 che prepara l'ambiente per il payload finale. Lo Stage 3 attiva com.kisa.octagonpanel, il RAT OctagonPanel con framework Ward per le operazioni di sorveglianza attiva.

Il framework Ward implementa il WardAccessibilityService per ottenere controllo granulare dell'interfaccia utente, consentendo operazioni di click automatizzati, lettura dei contenuti a schermo e intercettazione delle credenziali inserite in app bancarie tramite overlay. Il servizio VPN fittizio, descritto dalla fonte come "intentionally disrupts normal device connectivity", isola la vittima dai servizi legittimi mentre preserva il tunnel con il server di comando. Tecniche anti-analisi aggiuntive includono runtime code injection, junk logic per offuscare il flusso di esecuzione, e esclusione delle finestre di overlay dal task manager delle app recenti.

"Network monitoring can help detect this malware once active, since it phones home on a steady ~5-second heartbeat — an anomaly that stands out as a consistent, identifiable traffic pattern, detectable even without decrypting the traffic itself" — Portavoce Dream Research Lab, via Dark Reading

Infrastruttura di comando e segnali di attribuzione

Il canale C2 utilizza AES-GCM su TCP con endpoint embedded nel payload, secondo Rescana. L'intervallo di heartbeat di circa 5 secondi genera un pattern di traffico anomalo e costante che la fonte indica come rilevabile anche senza decrittazione del contenuto. I domini identificati restano attivi nel momento della pubblicazione dell'analisi; il dossier non documenta eventuali takedown operati dalle autorità.

Nei package name e negli artefatti del codice sono presenti elementi in lingua russa, ma il dossier non stabilisce alcuna attribuzione definitiva a gruppo APT noto o a operatore nation-state. Non emergono sovrapposizioni infrastrutturali che colleghino l'attore a campagne attribuite pubblicamente a entità specifiche nello stato attuale della ricerca.

Cosa fare adesso

• Verificare la provenienza delle app di emergenza: le app governative legittime del Bahrain non sono distribuite tramite siti esterni a Google Play Store o Apple App Store; qualunque link a download.alert-bh.com o simili è malevolo.
• Monitorare il traffico di rete con signature sul pattern ~5 secondi: il heartbeat C2 del framework Ward è identificabile come anomalia periodica costante, anche senza decrittare il payload AES-GCM.
• Controllare la presenza di servizi VPN attivi non autorizzati: il meccanismo di blocco connettività è un indicatore comportamentale distintivo che può essere rilevato tramite strumenti MDM su dispositivi aziendali.
• Ispezire i permessi di Accessibility Services: l'app legittima di allerta civile non richiede accessibilità estesa per il suo funzionamento; la richiesta di WardAccessibilityService è un marker di compromissione.

Perché questo attacco ridisegna il perimetro del rischio

La campagna BH Alert dimostra che l'ingegneria sociale istituzionale può superare in efficacia le tecniche di exploit tecnico. Non è necessario trovare una vulnerabilità in Android quando si può clonare la credibilità di un ministero durante un'allerta missilistica. Per le aziende con personale in zona GCC, il rischio si traduce in dispositivi aziendali che bypassano l'MFA intercettando OTP in tempo reale, e in accesso alle app corporate tramite screenshot e credenziali di lockscreen.

La vulnerabilità vera non è nel codice, ma nel trust sociale che le app di emergenza richiedono per funzionare. Quando una crisi reale riduce la latenza critica degli utenti, il margine di attenzione per verificare l'autenticità di una pagina di download si annulla. Questa dinamica è replicabile in qualsiasi contesto di emergenza: allarmi meteo, sanità pubblica, terrorismo. Il malware non deve "rompere" nulla. Deve solo attendere il momento in cui la paura rende la verifica impossibile.

Domande frequenti

Esiste un'app ufficiale di allerta civile del Bahrain coinvolta in questa campagna?

No. L'app ufficiale non è compromessa; la campagna si basa sull'impersonazione tramite pagine false. Il dossier non chiarisce se esista un'app ufficiale distribuita su store regolamentati.

Perché il payload è nascosto in un file di font?

I file .ttf sono formati binari legittimi che i motori di rilevazione statica tendono a escludere dall'analisi approfondita. L'uso di RC4 aggiunge un livello di offuscamento che richiede la chiave in runtime per la decriptazione.

Il malware colpisce solo utenti individuali o anche aziende?

Il dossier non specifica target selettivi. L'impatto per le aziende deriva dalla compromissione di dispositivi BYOD o aziendali che accedono a servizi corporate, con capacità di furto credenziali che aggirano l'MFA. Non emergono indicazioni di targeting specifico contro entità finanziarie o governative.

Fonti

• https://www.darkreading.com/mobile-security/fake-bahrain-alert-apps-android-surveillance-malware
• https://cybersecuritynews.com/fake-bahrain-civil-defense-android-app/
• https://www.gdnonline.com/Details/1401276/Fake-alert-app-warning
• https://mallory.ai/stories/019f8ba9-e207-7dc9-bcbc-a42a2609e123
• https://www.rescana.com/post/active-exploitation-alert-fake-bahrain-alert-app-deploys-advanced-android-surveillance-malware-targeting-gulf-region-use
• https://thehackernews.com/2026/07/threatsday-android-spyware-plc-attacks.html
• https://www.cisa.gov/news-events/news/cisa-fbi-epa-and-us-government-partners-update-warning-iran-affiliated-threat-actors-targeting
• https://thehackernews.com/2024/01/atomic-stealer-gets-upgrade-targeting.html
• https://thehackernews.com/2023/03/mispadu-banking-trojan-targets-latin.html

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti