Il malware ToxicPanda sfrutta autorizzazioni VPN per bloccare Google Play

ToxicPanda è tornato con una variante più complessa e aggressiva.

Il trojan bancario attivo su sistemi Android, già noto per colpire applicazioni finanziarie, ora combina VPN locale, Accessibility Service, Wireless Debugging e impostazioni specifiche dei produttori per ostacolare i controlli, rubare credenziali e consolidare la propria presenza sul dispositivo.

L’analisi di Zimperium, ripresa da BleepingComputer, riguarda nello specifico ToxicPanda 2.0, una versione capace di colpire 349 applicazioni distribuite in 16 Paesi e di ricevere 167 comandi remoti. I campioni esaminati sono stati distribuiti attraverso bucket ospitati su Amazon AWS. Non si tratta soltanto di un malware che mostra schermate contraffatte: la nuova variante cerca prima di controllare l’ambiente Android, ridurre le possibilità di rilevamento e automatizzare le operazioni necessarie a mantenere l’accesso.

ToxicPanda controlla rete e applicazioni

Una delle funzioni più rilevanti riguarda il servizio VPN di Android. Attraverso l’API VpnService, un’app può creare una VPN locale senza collegarsi necessariamente a un server remoto. ToxicPanda sfrutta questa possibilità per intercettare il traffico che passa dall’interfaccia virtuale e bloccare le comunicazioni con Google Play e Google Play Services.

L’obiettivo non è nascondere semplicemente l’indirizzo IP. Il malware cerca piuttosto di ostacolare aggiornamenti, verifiche delle applicazioni e comunicazioni collegate ai sistemi di sicurezza, incluso Google Play Protect. La richiesta dei permessi VPN precede l’installazione del payload e prepara il dispositivo alla fase successiva dell’infezione.

ToxicPanda tenta poi di ottenere l’Accessibility Service, una funzione pensata per aiutare le persone con disabilità, ma spesso abusata dai trojan Android. Un’app autorizzata può osservare numerosi elementi dell’interfaccia e interagire con pulsanti e schermate. Il malware usa questa capacità per automatizzare azioni che normalmente richiederebbero l’intervento della vittima.

La variante dispone inoltre di overlay di phishing associati a 349 applicazioni bancarie, finanziarie, di criptovalute e wallet digitali. Alcuni overlay possono risultare invisibili e intercettare gli input touch mentre l’utente utilizza un’app bersaglio. Un modulo separato raccoglie i PIN di 140 applicazioni finanziarie e può aggiornare dinamicamente la lista degli obiettivi.

Wireless Debugging facilita la persistenza

Il passaggio più preoccupante riguarda l’abuso dell’Android Debug Bridge wireless. ADB è uno strumento destinato allo sviluppo e alla diagnostica, mentre il Wireless Debugging consente di utilizzarlo attraverso la rete locale senza un collegamento USB. Android 11 ha introdotto questa possibilità, che ToxicPanda prova ad attivare automaticamente.

Dopo aver ottenuto l’accesso all’accessibilità, il malware può aprire le Opzioni sviluppatore, abilitare il Wireless Debugging, recuperare il codice di associazione a sei cifre e individuare la porta del servizio ADB. Può quindi stabilire una connessione con il demone locale e utilizzare comandi shell per modificare autorizzazioni, attivare componenti e ridurre alcune restrizioni sui processi in background.

ADB non concede automaticamente i privilegi root, ma offre un canale operativo più flessibile e può consentire di aggirare diversi prompt normalmente mostrati da Android. La tecnica richiede una catena di permessi, ma l’automazione riduce l’interazione necessaria alla vittima. Group-IB ha documentato un meccanismo simile nel malware RedHook, segnale che questa funzione sta attirando l’attenzione di più gruppi criminali.

Per ridurre il rischio è consigliabile installare applicazioni soltanto da fonti affidabili, verificare con attenzione i permessi per accessibilità e VPN e disattivare Wireless Debugging quando non serve. Un’app che richiede contemporaneamente il controllo dell’interfaccia, una VPN locale e funzioni di sviluppo merita particolare cautela. ToxicPanda 2.0 dimostra infatti come capacità legittime, se concatenate, possano trasformare un semplice trojan bancario in una piattaforma remota capace di controllare a lungo un dispositivo Android.