Il 20 luglio 2026 i ricercatori di Dream Research Lab hanno pubblicato l'analisi di una campagna Android attiva nel Golfo che impersona l'applicazione di allerta civile del Bahrain. L'app "BH Alert" — distribuita tramite pagine che clonano Google Play Store e domini con etichette governative — installa una piattaforma di sorveglianza in quattro stadi, sfruttando il picco di domanda legittimo per le app di emergenza durante i protocolli di difesa civile attivati dopo attacchi missilistici iraniani. Il timing non è casuale: le tensioni geopolitiche reali generano una "tassa della paura" digitale in cui la fiducia nelle istituzioni diventa un vettore di attacco.
- L'app "BH Alert" impersona la difesa civile del Bahrain con contenuti bilingue inglese/arabo e riferimenti UNDRR per costruire falsa legittimità.
- La catena d'infezione in quattro stadi usa un loader RC4 mascherato da file font (ZfChs.ttf), un fake VPN che blocca le app legittime, e il RAT OctagonPanel con servizio di accessibilità persistente.
- Il traffico C2 presenta un heartbeat di circa cinque secondi rilevabile tramite monitoraggio di rete senza decrittazione del payload.
- Quattro domini di distribuzione identificati: download.alert-bh.com, download.bh-security.com, playgoogle.alertbh.com, bh-alert.com.
Quando l'emergenza reale diventa esca digitale
I ricercatori hanno identificato la campagna il 17 luglio 2026, con pubblicazione del report tre giorni dopo. Il contesto è immediato: Bahrain, Kuwait e altri stati del Golfo avevano attivato protocolli di difesa civile in risposta a attacchi missilistici. Secondo i ricercatori di Dream, citati da Dark Reading, "durante gli eventi attivi di difesa aerea, le applicazioni di allerta d'emergenza ufficiali registrano picchi marcati nella domanda di installazione". L'app fasulla sfrutta esattamente questa finestra.
La pagina di distribuzione replica Google Play Store con badge "safe and secure", contatori di download falsi che indicano oltre 100.000 installazioni, e recensioni inventate. Il publisher assume etichette governative. I contenuti sono bilingue inglese/arabo con riferimenti all'UNDRR (Ufficio delle Nazioni Unite per la riduzione del rischio di disastri) per ancorare falsa autorità istituzionale. Il vettore iniziale non è determinato con certezza: la fonte ipotizza smishing e link sui social media o piattaforme di messaggistica.
I quattro stadi della compromissione
L'analisi tecnica documenta una catena strutturata in quattro fasi. Lo Stage 0, denominato Ematterassist, consiste in un loader crittografato RC4 camuffato da file font ZfChs.ttf. Questo file inietta codice DEX nascosto che avvia la sequenza. Lo Stage 1 presenta il package com.kit.kitty, un'interfaccia di social engineering che richiede all'utente i permessi VPN e l'installazione da fonti sconosciute.
Lo Stage 2, identificato dal package biz.rely.melt.Hvoicemanual, funge da shell RC4 che decripta il payload finale. Lo Stage 3 è il RAT vero e proprio: il package com.kisa.octagonpanel, noto anche come OctagonPanel/Ward, che include il WardAccessibilityService per la persistenza. Secondo la fonte primaria, "la piattaforma di sorveglianza in quattro stadi è in grado di raccogliere credenziali della schermata di blocco, SMS e codici monouso, contatti e screenshot, eseguire overlay su app bancarie, e assumere il controllo remoto completo del dispositivo".
Un meccanismo particolarmente aggressivo è il fake VPN service: l'app attiva una VPN che interrompe intenzionalmente la connettività normale del dispositivo. Le applicazioni legittime perdono accesso a internet, mentre i componenti controllati dall'attaccante restano funzionali. Questo costringe l'utente a completare il setup per ristabilire la connettività, bypassando la resistenza ai permessi.
Il battito del C2: un pattern di rete rilevabile
La comunicazione con il server di comando e controllo presenta una caratteristica anomala che la rende identificabile. Il portavoce di Dream Research Lab, citato da Dark Reading, ha specificato che "il malware contatta la base su un heartbeat costante di circa cinque secondi — un'anomalia che si distingue come pattern di traffico consistente e identificabile, rilevabile anche senza decrittare il traffico stesso". Il C2 utilizza crittografia AES-GCM su TCP con endpoint embedded. I domini di distribuzione e C2 identificati sono download.alert-bh.com, download.bh-security.com, playgoogle.alertbh.com, e bh-alert.com, secondo l'analisi di Rescana.
"e la paura fa il resto"
Limiti dell'intelligence disponibile
Il dossier presenta margini significativi. Il numero esatto di vittime o dispositivi compromessi non è quantificato. L'attribuzione a un gruppo threat actor specifico non è confermata: Rescana ipotizza il targeting di attivisti e giornalisti, ma questa è una valutazione non verificata dalla fonte primaria. Il vettore di distribuzione iniziale rimane ipotizzato, non determinato. Non è chiaro se esistano versioni iOS del malware, né è menzionato il danno economico effettivamente realizzato. L'app non sembra distribuita sul Google Play Store ufficiale, ma esclusivamente tramite sideload da siti clonati.
La fonte CISA citata nel dossier riguarda attività di threat actor affiliati all'Iran nel periodo, ma non è direttamente correlata al malware BH Alert: qualsiasi collegamento tra la campagna OctagonPanel e attori statali specifici resta non documentato.
Cosa fare adesso
- Verificare la provenienza delle app di emergenza: le pubblicazioni governative ufficiali non distribuiscono software tramite pagine clone di store terzi.
- Monitorare il traffico di rete per pattern heartbeat regolari di circa cinque secondi verso domini non riconosciuti, indicatore comportamentale rilevabile anche senza decrittazione.
- Rivendicare e controllare i permessi VPN e servizi di accessibilità attivi sui dispositivi Android aziendali e personali, in particolare quelli dei dipendenti in area Golfo.
- Segmentare l'accesso corporate da dispositivi mobile non gestiti: smartphone compromessi con capacità di overlay e intercettazione SMS possono bypassare l'MFA basato su messaggio.
Il secondo caso del 2026 e il ritorno di una tattica
Questa non è un'operazione isolata. I ricercatori di Dream Group segnalano che si tratta del secondo caso nel 2026: a marzo era stata documentata una campagna analoga con l'app "Red Alert" israeliana trojanizzata. La ricorrenza della tattica — impersonazione di app di emergenza governativa durante crisi reali — indica un modello riproducibile che non dipende dalla vulnerabilità tecnica specifica, ma dalla psicologia dell'emergenza. Quando la paura comprime il ciclo decisionale, i controlli di sicurezza diventano attrito da eliminare rapidamente.
Per le organizzazioni con dipendenti o operazioni nel Golfo, il rischio non è solo individuale: un dispositivo mobile compromesso con accesso a app corporate, anche protette da MFA, rappresenta un ponte verso reti aziendali. La rilevabilità del traffico C2 offre un'opportunità concreta, a condizione che il monitoraggio di rete sia attivo prima che l'incidente emergenziale generi il picco di installazioni.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.darkreading.com/mobile-security/fake-bahrain-alert-apps-android-surveillance-malware
- https://teamwin.in/fake-bahrain-civil-defense-app-deploys-android-rat-to-steal-pins-otps-and-banking-credentials/
- https://cybersecuritynews.com/fake-bahrain-civil-defense-android-app/
- https://www.darkreading.com/
- https://www.rescana.com/post/active-exploitation-alert-fake-bahrain-alert-app-deploys-advanced-android-surveillance-malware-targeting-gulf-region-use
- https://thehackernews.com/2026/07/threatsday-android-spyware-plc-attacks.html
- https://www.cisa.gov/news-events/news/cisa-fbi-epa-and-us-government-partners-update-warning-iran-affiliated-threat-actors-targeting
- https://securelist.com/mobile-apt-middle-east/