StreamRat ha raggiunto 570.000 utenti Meta con annunci a pagamento: la

Una campagna pubblicitaria malevola ha distribuito il malware Android StreamRat attraverso annunci sponsorizzati su Meta e TikTok, sfruttando la legittimità percepita della pubblicità a pagamento per indurre gli utenti all'installazione di un banking Trojan con capacità di controllo remoto. La campagna su Meta è stata attiva dall'11 giugno al 3 luglio 2026, raggiungendo circa 570.000 utenti con targeting su pubblico di lingua spagnola. È la dimostrazione più recente di come il modello di moderazione reattiva delle piattaforme possa essere aggirato per settimane, anche senza ricorrere a tecniche di intrusione sofisticate.

Come funziona il funnel di ingegneria sociale

La campagna non si limitava a indirizzare il traffico verso un download casuale. Secondo la fonte citata, il sito di landing implementava un sistema di verifica a due livelli: controllava innanzitutto se il visitatore utilizzasse Android, bloccando l'accesso agli altri sistemi operativi, e identificava la piattaforma di provenienza per personalizzare le istruzioni visualizzate. Instagram, TikTok, Facebook e browser generico ricevevano ciascuno un flusso specifico, calibrato sul contesto da cui l'utente arrivava.

La fase successiva consisteva in una guida passo-passo per aggirare i meccanismi di sicurezza di Android. Gli utenti venivano indirizzati ad abilitare l'installazione da fonti sconosciute, a concedere permessi di accessibilità — che sul sistema operativo di Google permettono alle app di interagire con qualsiasi elemento dell'interfaccia — e a cedere il controllo di Device Admin e screen-sharing. La fonte sottolinea esplicitamente che il sito era progettato per "coaching people through the security warnings that would normally make them stop and think": non un errore di progettazione, ma una scelta architetturale deliberata per smontare la difesa psicologica dell'utente.

Le capacità tecniche di StreamRat

Una volta installato, StreamRat opera come banking Trojan e infostealer. La fonte documenta le seguenti funzionalità: monitoraggio dello schermo, cattura di input digitati, visualizzazione di schermate contraffatte per rubare credenziali, e controllo remoto del dispositivo. Il malware include inoltre opzioni per coprire l'intero schermo con una pagina nera o con un finto aggiornamento di sistema Android, entrambe tecniche orientate a mascherare l'attività criminale mentre è in corso.

Malwarebytes rileva questa famiglia con la firma Android/PUP.Agent.ACR02DB0614H7. Va sottolineato che StreamRat non sfrutta vulnerabilità zero-day del sistema operativo: l'infezione richiede la concessione attiva di permessi da parte dell'utente, il che rende il vettore pubblicitario centrale per superare la diffidenza iniziale. L'utente che clicca un annuncio su Meta o TikTok si aspetta contenuto commerciale legittimo; quella aspettativa è lo strumento che abbassa le difese.

"The available data shows the ads' reach, not the number of downloads or infections, but it demonstrates how quickly paid advertising can put a scam in front of a very large audience" — Malwarebytes blog

Perché la campagna è rimasta attiva per tre settimane

La durata documentata della campagna Meta — dal 11 giugno al 3 luglio 2026, ovvero circa tre settimane — solleva questioni sulle tempistiche dei controlli delle piattaforme pubblicitarie. Il modello di trust and safety attuale si basa in larga parte sulla segnalazione e sulla revisione a posteriori: gli annunci vengono esaminati prima della pubblicazione con strumenti automatizzati, ma la verifica effettiva dell'infrastruttura di landing spesso avviene solo in risposta a segnalazioni o a pattern anomali rilevati in corso d'opera.

Nel caso specifico, la sovrapposizione temporale tra Meta e TikTok suggerisce che il gruppo dietro l'operazione abbia testato la resilienza del modello su più piattaforme in parallelo, scommettendo sul fatto che la legittimità percepita della pubblicità a pagamento fosse sufficiente a garantire un margine di tempo utile. La fonte non documenta eventuali azioni intraprese dalle piattaforme per rimuovere la campagna, né specifica se la conclusione il 3 luglio sia stata conseguenza di un intervento o di una scelta operativa degli autori.

Perche e importante

Il brief non documenta misure correttive specifiche né azioni consigliate agli utenti. La fonte non specifica se Meta o TikTok abbiano rilasciato comunicazioni ufficiali sull'incidente, né indica strumenti di verifica per determinare se un dispositivo sia stato compromesso. Il dossier non riporta inoltre se Malwarebytes abbia analizzato direttamente i sample di StreamRat o se i dettagli tecnici derivino da ricercatori terzi non nominati.

Resta non verificato il numero effettivo di download e infezioni: il dato di circa 570.000 utenti si riferisce esclusivamente al reach pubblicitario, che non equivale a conversioni. La fonte non documenta perdite finanziarie confermate né fornisce elementi per l'attribuzione del gruppo threat actor. Non emerge inoltre se la campagna Meta del giugno-luglio 2026 rappresenti un'operazione isolata o l'episodio più recente di una serie precedente.

Il dato rilevante per il lettore è il meccanismo: l'uso della pubblicità a pagamento su piattaforme mainstream come vettore di malware Android introduce una frattura nel modello di fiducia su cui si basa la moderazione degli ecosistemi pubblicitari. Se l'utente associa automaticamente la sponsorizzazione a un minimo di validazione da parte della piattaforma, il malvertising diventa non solo un rischio tecnico ma un problema di percezione del rischio.

Chi è stato colpito e come

Il targeting geografico-linguistico era preciso: utenti di lingua spagnola, con la maggior parte delle vittime osservate in Spagna. Questa scelta non è casuale — limita l'esposizione a un pubblico omogeneo per cui è più facile confezionare landing page credibili, con contenuti localizzati e istruzioni contestuali — ma indica anche una valutazione preliminare del mercato da parte degli operatori. La Spagna rappresenta un mercato bancario digitale maturo con alta penetrazione mobile, caratteristiche che massimizzano il potenziale di un banking Trojan se l'infezione riesce.

La contemporanea presenza su Meta e TikTok allarga il perimetro dell'operazione oltre il singolo ecosistema. Non si tratta di una compromissione della piattaforma né di un abuso di API o policy interne, ma di un utilizzo legittimo del sistema pubblicitario per fini illeciti. Questa distinzione è rilevante per inquadrare correttamente il problema: non un breach tecnico, ma un fallimento di verifica dell'endpoint finale a cui l'annuncio indirizza.

Domande frequenti

Come si distinguono gli annunci maliziosi da quelli legittimi?

Il dossier non fornisce indicatori di riconoscimento specifici. La fonte documenta che i banner utilizzavano temi di streaming TV gratuiti, ma non elenca pattern grafici o testuali ricorrenti che permettano di identificare la campagna a colpo d'occhio.

StreamRat è una minaccia attiva al momento della pubblicazione?

Secondo la fonte, la campagna documentata si è conclusa il 3 luglio 2026. Non emergono elementi per stabilire se varianti o campagne successive siano in corso, né se il malware continui a essere distribuito attraverso altri vettori.

Le piattaforme hanno responsabilità nel caso specifico?

La fonte non documenta valutazioni legali o di policy. Il brief non contiene dichiarazioni ufficiali di Meta o TikTok sull'episodio, né stabilisce se le piattaforme abbiano identificato autonomamente la campagna o siano intervenute su segnalazione.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://www.malwarebytes.com/blog/news/2026/09/streamrat-android-malware-spreads-through-meta-and-tiktok-ads