Passa ai contenuti principali

Facebook rilascia un nuovo strumento che trova bug di sicurezza e privacy nelle app Android

Facebook ha annunciato mercoledì di essere open-source Mariana Trench , una piattaforma di analisi statica incentrata su Android che l'azienda utilizza per rilevare e prevenire bug di sicurezza e privacy nelle applicazioni create per il sistema operativo mobile su larga scala.

"[Mariana Trench] è progettato per essere in grado di scansionare grandi basi di codici mobili e segnalare potenziali problemi sulle richieste pull prima che entrino in produzione", ha affermato il colosso della tecnologia sociale di Menlo Park .

In poche parole, l'utilità consente agli sviluppatori di inquadrare le regole per i diversi flussi di dati per la scansione della base di codice al fine di scoprire potenziali problemi, ad esempio difetti di reindirizzamento dell'intento che potrebbero comportare la perdita di dati sensibili o vulnerabilità di iniezione che consentirebbero agli avversari di inserire codice arbitrario: definisce esplicitamente i limiti della provenienza (origine) e del flusso (sink) dei dati forniti dall'utente che entrano nell'app, ad esempio metodi che possono eseguire codice e recuperare o interagire con i dati utente.

I flussi di dati rilevati che violano le regole vengono quindi restituiti a un ingegnere della sicurezza o all'ingegnere del software che ha effettuato la richiesta pull contenente le modifiche.


Il gigante dei social media ha affermato che oltre il 50% delle vulnerabilità rilevate nella sua famiglia di app, tra cui Facebook, Instagram e WhatsApp, sono state trovate utilizzando strumenti automatizzati. Mariana Trench segna anche il terzo servizio di questo tipo che l'azienda ha reso open source dopo Zoncolan e Pysa , ognuno dei quali ha come target i linguaggi di programmazione Hack e Python, rispettivamente.

Lo sviluppo segue anche mosse simili da GitHub di proprietà di Microsoft, che ha acquisito Semmle e ha lanciato un Security Lab nel 2019 con l'obiettivo di proteggere il software open source, oltre a rendere disponibili gratuitamente strumenti di analisi del codice semantico come CodeQL per individuare le vulnerabilità in pubblico. codice disponibile.

"Ci sono differenze nell'applicazione di patch e nell'assicurare l'adozione di aggiornamenti del codice tra applicazioni mobili e web, quindi richiedono approcci diversi", ha affermato la società.

"Mentre il codice lato server può essere aggiornato quasi istantaneamente per le app Web, la mitigazione di un bug di sicurezza in un'applicazione Android si basa sul fatto che ogni utente aggiorni l'applicazione sul dispositivo che possiede in modo tempestivo. Questo lo rende molto più importante per qualsiasi app sviluppatore di mettere in atto sistemi per aiutare a prevenire che le vulnerabilità si trasformino in versioni mobili, quando possibile".



Mariana Trench è accessibile qui tramite GitHub e Facebook ha anche rilasciato un pacchetto Python sul repository PyPi.

Commenti

Popolari

CTF, talento e gioco di squadra. Il Team Italy pronto alla sfida europea

A Torino è stata presentata la squadra nazionale italiana di cybersicurezza, il Team Italy 2025-2026, composta da dieci studenti selezionati tra licei, istituti tecnici e università chiamati a rappresentare l’Italia nelle prossime competizioni nazionali e internazionali. La squadra parteciperà, a ottobre, allo European Cybersecurity Challenge che si terrà a Varsavia: una vetrina importante dove i giovani talenti mettono alla prova tecniche di difesa e attacco in scenari simulati e controllati. Alla base della preparazione c’è un approccio pratico e collettivo: training e addestramento gratuiti organizzati dal Cybersecurity National Lab del CINI, che trasformano il gioco in formazione concreta per professionisti di domani. Questo percorso mostra come il mondo delle CTF (capture the flag) non sia solo svago ma una palestra fondamentale per allenare competenze applicabili alla protezione di infrastrutture strategiche come ospedali, scuole e aeroporti. Le CTF vanno celebrate: offrono scena...

Il fantasma di Stuxnet. Quanto siamo pronti a fermare un attacco simile nel 2025

Quindici anni dopo la scoperta di Stuxnet, il malware che nel 2010 dimostrò la possibilità concreta di sabotare un impianto industriale attraverso il codice, la domanda sul ripetersi di un’operazione simile è più attuale che mai. All’epoca, la combinazione di zero-day Windows, driver firmati con certificati contraffatti e la manipolazione dei PLC Siemens che controllavano le centrifughe iraniane segnarono una svolta epocale: per la prima volta un’arma informatica aveva prodotto un effetto fisico su larga scala, nascosta dietro feedback falsificati che trassero in inganno gli operatori. Non era un malware generico, né un ransomware, ma una vera e propria operazione militare digitale disegnata per un obiettivo specifico. Dal 2010 al 2025 lo scenario è cambiato radicalmente. Le infrastrutture industriali sono sempre più connesse con reti IT e servizi cloud, ampliando una superficie d’attacco che un tempo era confinata in ambienti isolati. Le tecniche offensive si sono evolute: non solo ma...

iPhone 17 Pro, la nuova frontiera della sicurezza Apple

Apple ha presentato con la serie iPhone 17 (incluse le versioni Pro) una delle sue evoluzioni più importanti in ambito sicurezza, puntando esplicitamente a contrastare spyware sofisticati e vulnerabilità di memoria – tipico punto di ingresso per attacchi mirati. Ecco cosa cambia davvero, cosa resta da fare e perché queste novità sono rilevanti per chi si occupa di sicurezza informatica. Quando si parla di sicurezza sui nuovi iPhone 17 Pro, le innovazioni più significative sono: - Memory Integrity Enforcement (MIE): nuova protezione hardware/software “always-on” che combina vari meccanismi per impedire exploit basati su bug di memoria. - Enhanced Memory Tagging Extension (EMTE): è il “cuore” della protezione, su cui si basa la gestione più sicura della memoria, con tagging, confidenzialità dei tag, e allocatori di memoria più robusti. - Applicazione difensiva su aree sensibili del sistema, incluso il kernel e più di settanta processi “userland” considerati ad alto rischio. - MIE avrà ef...