Un nuovo malware Android chiamato RedHook sta facendo parlare gli esperti di sicurezza, e il motivo è semplice: non si limita a spiare quello che accade sullo schermo, ma arriva letteralmente a impossessarsi del dispositivo. La società di sicurezza Group-IB ha pubblicato un rapporto su una versione aggiornata di questo trojan bancario, capace di sfruttare l’ADB wireless, lo stesso strumento di debug che permette ai proprietari di Galaxy S26 Ultra e Pixel 10 Pro di smanettare con i propri telefoni. Il risultato è un accesso a livello shell che consente ai criminali di svuotare i conti correnti delle vittime. Il fenomeno è partito dal Vietnam e si è poi allargato all’Indonesia.
RedHook non è una novità assoluta. Era già stato documentato a luglio 2025 come un trojan bancario abbastanza ordinario, di quelli che osservano lo schermo e registrano i tasti premuti. La differenza è che la versione più recente riesce ad attivare da sola l’ADB wireless, cosa che prima non faceva. Il trucco per entrare, invece, è rimasto lo stesso di sempre. Qualcuno si finge un impiegato di banca o un funzionario pubblico, contatta la vittima con una chiamata, un messaggio o un SMS, e la convince a installare un file APK da un sito camuffato per sembrare il Play Store. Una volta dentro, RedHook chiede i permessi di Accessibilità, poi si muove da solo tra le Opzioni sviluppatore, attiva il debug wireless e si accoppia come se fosse un computer autorizzato. Così ottiene privilegi che nessuna app normale potrebbe mai avere. Non c’è nessun exploit qui, solo un’interfaccia di debug trasformata in una scorciatoia verso i privilegi di sistema.
Chi rischia davvero e come difendersi
A doversi preoccupare sono soprattutto le persone che installano applicazioni al di fuori del Play Store, perché RedHook ha comunque bisogno di quel primo clic su un sito falso. Chi resta fedele allo store ufficiale con Play Protect attivo non viene toccato da tutto questo. Gli analisti hanno notato che il malware combatte con le unghie per restare in vita: riproduce audio silenzioso, impedisce al processore di andare in standby e fa girare due servizi che si riavviano a vicenda se uno dei due viene chiuso.
Su iPhone il meccanismo non funziona allo stesso modo, perché Apple non espone nulla di simile all’ADB wireless a un’app scaricata. Questo però non vuol dire che gli iPhone siano al riparo dalle truffe in generale. Nel frattempo Google sta lavorando a una soluzione: la sua Modalità di protezione avanzata dovrebbe bloccare le Opzioni sviluppatore per chi la attiva, anche se al momento non è ancora così.
Le regole per tenere lontano RedHook sono poche e pratiche. Installare app solo da Google Play o da un altro store ufficiale. Non concedere mai i permessi di Accessibilità a un’app che non ha un motivo evidente per richiederli. Trattare con sospetto chiamate o messaggi inattesi dalla banca finché non se ne verifica l’autenticità. Controllare ogni tanto la schermata delle Opzioni sviluppatore per assicurarsi che il debug wireless non sia stato attivato all’insaputa dell’utente. E lasciare acceso Google Play Protect, che funziona come rete di sicurezza automatica.
