Una nuova variante del malware ToxicPanda espande drasticamente il suo raggio d'azione, prendendo di mira oltre 400 applicazioni finanziarie attraverso l'abuso dei servizi di accessibilità.
Il panorama della sicurezza Android è stato recentemente scosso dalla scoperta di ToxicPanda 2.0, una versione significativamente potenziata del noto trojan bancario che ha attirato l'attenzione dei ricercatori di zLabs, la divisione di sicurezza mobile di Zimperium. A differenza della sua iterazione originale, che si limitava a colpire un numero ristretto di applicazioni, questa nuova variante dimostra una capacità di attacco su larga scala, puntando a oltre 140 app di banking e criptovalute, oltre a 349 istituzioni finanziarie globali attraverso tecniche di overlay.
L'infrastruttura di attacco è geograficamente distribuita, con un focus particolare su mercati emergenti come Pakistan, Sudafrica, Messico, Nigeria e India. La strategia del malware è semplice ma efficace: quando l'utente avvia un'applicazione finanziaria presa di mira, il trojan contatta il server di Command and Control (C2) per scaricare un'interfaccia HTML malevola che si sovrappone a quella legittima, ingannando l'utente e sottraendo le credenziali di accesso.
Ciò che rende ToxicPanda 2.0 particolarmente insidioso non è lo sfruttamento di una vulnerabilità zero-day, ma l'abuso deliberato delle funzionalità di sistema. Il malware sfrutta i Servizi di Accessibilità di Android per ottenere privilegi elevati, arrivando a manipolare il debug wireless. Attraverso l'Android Debug Bridge (ADB), il malware è in grado di eseguire comandi con privilegi di shell, bypassando i consueti prompt di consenso del sistema operativo. Questa tecnica permette al software malevolo di neutralizzare le restrizioni in background, attivare componenti critici in modo silenzioso e garantire la propria persistenza sul dispositivo infetto.
Una delle novità più preoccupanti di questa versione è il meccanismo di furto del PIN. Grazie a un attacco di tipo overlay, il malware è in grado di intercettare le credenziali di blocco del dispositivo, fornendo agli aggressori un accesso persistente e quasi totale al terminale della vittima. Come sottolineato dagli esperti di sicurezza, il malware non cerca di "rompere" il sistema operativo, ma lo "utilizza" dall'interno, trasformando le funzioni progettate per l'usabilità in strumenti di spionaggio e frode.
La natura di questa minaccia pone una sfida complessa per i team di sicurezza IT e per gli utenti finali. Poiché il malware non sfrutta falle nel codice di Android, ma abusa di caratteristiche progettate per essere utili, non esiste una "patch" tradizionale che possa risolvere il problema alla radice. La difesa deve quindi spostarsi verso una governance più rigorosa delle autorizzazioni.
Per le aziende che gestiscono flotte di dispositivi mobili, le raccomandazioni principali includono:
In conclusione, ToxicPanda 2.0 rappresenta un cambio di paradigma: gli aggressori stanno abbandonando l'esplorazione di vulnerabilità complesse in favore di un uso creativo delle API di sistema. La protezione richiede ora una vigilanza costante sulle autorizzazioni concesse alle app, che rimangono il punto di ingresso preferito per le moderne campagne di malware mobile.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
