In questo articolo Indice dei contenuti 2 sezioni
Il malware ToxicPanda è tornato a circolare su Android in una versione parecchio più aggressiva rispetto al passato, con la capacità di rubare PIN, credenziali bancarie e persino di attivare da solo il debug wireless del sistema operativo. L’analisi arriva dai ricercatori di Zimperium zLabs, che hanno messo le mani su una nuova variante del trojan bancario e ne hanno smontato il funzionamento pezzo per pezzo. Il risultato non è rassicurante, perché parliamo di un software malevolo in grado di eseguire ben 167 comandi impartiti da remoto.
La differenza rispetto alle versioni precedenti si vede soprattutto nei numeri. Quella che viene chiamata ToxicPanda 2.0 integra un meccanismo pensato per intercettare i PIN usati in oltre 140 applicazioni bancarie e legate alle criptovalute, e può mostrare schermate di phishing sovrapposte alle interfacce di 349 servizi finanziari distribuiti in 16 Paesi. Per capire il salto di scala basta un confronto: la variante analizzata in passato da Cleafy si limitava a prendere di mira appena 16 applicazioni bancarie. Da 16 a 349, insomma, il perimetro delle vittime potenziali si è allargato in modo enorme.
Come agisce ToxicPanda una volta installato sul telefono
Il comportamento del trojan segue una logica precisa. Appena arriva sul dispositivo, il malware passa in rassegna le app installate e spedisce al server di comando e controllo i nomi dei pacchetti insieme alle relative icone. È una fase di ricognizione, in pratica, che serve agli attaccanti per capire con chi hanno a che fare e quali servizi finanziari usa la vittima.
Da lì in poi entra in gioco la tecnica dell’overlay. Quando l’utente apre una delle applicazioni che interessano ai criminali, ToxicPanda scarica dal server una falsa schermata HTML che va a sovrapporsi quasi perfettamente a quella autentica. A quel punto la richiesta è la solita: inserire credenziali, PIN o altre informazioni sensibili. Chi digita non si accorge di nulla, perché la grafica riprende quella dell’app legittima.
Per alcuni servizi il trojan adotta invece un approccio più silenzioso. Crea un overlay trasparente e sfrutta i servizi di accessibilità di Android per monitorare ciò che compare sul display e registrare i tocchi dell’utente sullo schermo. Nessuna finta schermata, nessun elemento sospetto da notare, solo un livello invisibile che raccoglie dati mentre la persona usa normalmente il telefono. L’elenco delle app da sorvegliare, tra l’altro, non è fisso: gli operatori possono modificarlo quando vogliono agendo direttamente dal server C2.
Il debug wireless come chiave per privilegi più alti
L’aspetto forse più insidioso di questa evoluzione riguarda il debug wireless di Android. Si tratta di una funzione pensata per gli sviluppatori, che consente di collegarsi al dispositivo senza cavo per operazioni tecniche. ToxicPanda è in grado di attivarla autonomamente, senza che l’utente faccia nulla, e in questo modo ottiene privilegi più elevati sul telefono. Un passaggio che amplia parecchio il raggio d’azione del trojan bancario, perché gli permette di spingersi oltre i normali limiti imposti a un’applicazione qualsiasi.
Il quadro complessivo che emerge dall’analisi descrive quindi una minaccia che ha cambiato pelle. I 167 comandi remoti a disposizione degli attaccanti, la copertura di centinaia di istituti finanziari in 16 nazioni e la capacità di raccogliere PIN da più di 140 app tra banche e piattaforme crypto raccontano di una campagna costruita per durare e per adattarsi rapidamente ai bersagli, con liste aggiornabili al volo dal server di controllo.
