Onestamente, mi aspettavo che Stagefright venisse citato più spesso dai nostri esperti, invece non riesce ad andare oltre la quarta piazza, restando relegato ai piedi del podio insieme a un altro candidato illustre: Angler.
Di questo bug gravissimo scoperto in una delle librerie di sistema usate da Android si sono ricordati Antonio Forzieri di Symantec, Luigi Cattaneo e Gianluca Busco Arré (entrambi country manager di Panda Security Italia).
Sfruttarlo non era semplice, ma confezionando dei contenuti multimediali ad hoc, si poteva eseguire del codice arbitrario su qualsiasi dispositivo gestito dal robottino verde.
Le conseguenze erano potenzialmente devastanti in quanto bastava conoscere il numero di telefono di un contatto per inviargli un MMS infetto e dare il via alle operazioni.
Curiosamente, non c'è notizia di un uso ad ampio raggio di questo bug (forse perché alcune forme di mitigazione erano già incluse in molti dispositivi anche se il bug non era ancora stato scoperto), ma di sicuro la falla era molto grossa e ha fatto esplodere le critiche, già vivaci in verità, mosse alla lentezza con cui i produttori di smartphone aggiornano il software dei loro dispositivi.
L'altro quarto classificato, Angler, appartiene a una categoria completamente diversa da Stagefright: è un kit per creare malware potente, ma semplice da reperire e usare.
Tirato in ballo sempre da Forzieri (ma in prima posizione nella sua personale classifica) e da David Gubian di CheckPoint Italia, è un malware kit nato già nel 2013 ma in costante evoluzione.
Le sue ultime varianti sono state usate molto spesso come vettore di attacco per dei trojan bancari ed è in grado di sfruttare molte falle tra le quali brilla quella scoperta quasi un anno fa in Adobe Flash e che, sebbene corretta tramite patch, sembra ancora aperta su moltissimi dispositivi.
È anche grazie a kit come Angler se il cybercrimine si sta diffondendo a macchia d'olio.