ToxicPanda torna sotto i riflettori con una nuova versione che mostra un salto significativo nelle capacità operative e nell’ampiezza degli obiettivi. La ricerca pubblicata da Zimperium zLabs descrive ToxicPanda 2.0 come un trojan bancario Android dotato di 167 comandi remoti e capace di colpire 349 applicazioni bancarie, finanziarie, wallet e criptovalutarie distribuite in 16 Paesi.
Rispetto alla precedente variante, che prendeva di mira un numero molto più limitato di applicazioni, il malware appare quindi progettato per trasformarsi in una piattaforma flessibile per il furto di credenziali e la frode finanziaria.
L’accessibilità come strumento di controllo
Uno degli elementi centrali dell’attacco rimane l’abuso degli Accessibility Services di Android. Una volta installato, ToxicPanda può osservare gli elementi presenti nell’interfaccia, automatizzare interazioni e controllare il dispositivo attraverso comandi ricevuti dall’infrastruttura criminale. Il malware identifica inoltre le applicazioni installate sul dispositivo e invia al server di comando e controllo informazioni sui relativi package. Questo permette agli operatori di comprendere quali applicazioni finanziarie siano presenti e di selezionare successivamente il comportamento più adatto.
Overlay contraffatti per rubare credenziali e PIN
La componente più direttamente legata alla frode finanziaria riguarda gli overlay. Quando l’utente apre un’applicazione bersaglio, ToxicPanda può ricevere dal C2 un’interfaccia HTML progettata per imitare quella originale. La falsa schermata viene sovrapposta all’applicazione legittima e può convincere la vittima a inserire credenziali, PIN o altre informazioni riservate. Il sistema può inoltre aggiornare dinamicamente l’elenco delle applicazioni da monitorare, consentendo agli operatori di modificare i bersagli senza necessariamente distribuire una nuova versione del malware.
L’abuso del Wireless Debugging
Una delle novità più rilevanti di ToxicPanda 2.0 è l’automazione del Wireless Debugging di Android. Attraverso Accessibility Services il malware può navigare nelle impostazioni del dispositivo, abilitare le Developer Options e attivare il Wireless Debugging. Successivamente individua la funzione per associare un dispositivo tramite codice, recupera automaticamente il PIN temporaneo e completa la procedura di pairing con ADB. L’obiettivo è ottenere accesso alla shell del dispositivo ed eseguire comandi con privilegi superiori rispetto a quelli normalmente disponibili all’applicazione.
Il furto del PIN di sblocco
ToxicPanda 2.0 non limita il proprio interesse alle applicazioni bancarie. La nuova variante può infatti tentare di sottrarre anche le credenziali utilizzate per sbloccare lo smartphone. Il malware utilizza un overlay che riproduce l’aspetto della schermata di blocco Android, cercando di indurre l’utente a inserire PIN, password o pattern. Il possesso di questi dati può consentire agli attaccanti di superare una delle principali barriere di sicurezza del dispositivo.
Persistenza e controllo remoto
La capacità di mantenere il malware operativo rappresenta un altro aspetto importante. ToxicPanda 2.0 include comandi dedicati all’automazione delle autorizzazioni, alla gestione dei privilegi amministrativi e all’elusione delle restrizioni energetiche introdotte dai produttori Android. Il malware riconosce inoltre l’OEM del dispositivo e può aprire impostazioni specifiche per modificare le configurazioni relative all’avvio automatico e alla gestione della batteria. L’obiettivo è impedire al sistema operativo o alle ottimizzazioni del produttore di interrompere il processo malevolo.
Una comunicazione C2 progettata per il controllo in tempo reale
La comunicazione con l’infrastruttura di comando e controllo avviene inizialmente attraverso HTTPS e successivamente tramite una connessione WebSocket persistente. Questo canale bidirezionale permette agli operatori di inviare comandi e ricevere dati dal dispositivo con bassa latenza. ToxicPanda 2.0 utilizza inoltre la cifratura AES in modalità ECB per proteggere il traffico C2, con la chiave incorporata nel codice del malware. Secondo Zimperium, alcuni campioni analizzati sono stati distribuiti attraverso bucket ospitati su Amazon AWS, mostrando come anche infrastrutture cloud legittime possano essere sfruttate nella catena di distribuzione del malware.
Un rischio sempre più mobile
ToxicPanda 2.0 evidenzia una trasformazione importante del malware bancario Android. L’obiettivo non è più soltanto intercettare credenziali attraverso schermate contraffatte, ma ottenere un controllo più ampio del dispositivo sfruttando funzioni legittime del sistema operativo.
L’espansione a 349 applicazioni, l’automazione dell’ADB, il furto delle credenziali di sblocco e i 167 comandi remoti delineano una minaccia capace di combinare furto di informazioni, manipolazione dell’interfaccia e persistenza.
Per gli utenti questo scenario conferma l’importanza di evitare l’installazione di applicazioni provenienti da fonti non affidabili e di prestare particolare attenzione alle richieste anomale di Accessibility Services, VPN, amministrazione del dispositivo o modifica delle impostazioni di sviluppo. Sul fronte aziendale, invece, la crescita di minacce come ToxicPanda dimostra perché la sicurezza degli endpoint mobili debba essere considerata parte integrante della strategia di difesa e non più un elemento secondario della sicurezza informatica.
Zimperium ha reso pubblici gli IoC su github.
