ToxicPanda 2.0 colpisce 349 app finanziarie e sfrutta ADB per prendere il controllo degli Android

Una campagna molto più ampia della precedente

Il 22 agosto 2026 Zimperium zLabs ha descritto ToxicPanda 2.0, una nuova versione del malware Android che amplia drasticamente il numero di bersagli finanziari. La variante precedente era associata a 16 applicazioni bancarie; quella attuale ne identifica 349, distribuite tra banche e servizi finanziari di 16 Paesi.

L’estensione comprende anche applicazioni legate alle criptovalute. Il malware non si limita a rubare credenziali: può controllare l’interfaccia, automatizzare operazioni, modificare impostazioni e mantenere l’accesso al dispositivo.

La campagna non è stata attribuita a uno specifico gruppo criminale. Non sono stati indicati identificativi CVE, perché l’attacco non dipende da una vulnerabilità software nuova, ma dall’abuso di funzioni legittime di Android.

Installazione mascherata e aggiramento di Play Protect

ToxicPanda 2.0 si presenta come un’applicazione legittima e utilizza una schermata d’installazione contraffatta. In questa fase chiede autorizzazioni VPN, che vengono poi sfruttate per ostacolare le comunicazioni di Google Play Protect.

Il payload effettivo è cifrato e nascosto nei file asset dell’applicazione. Una volta installato, il malware cerca di rendere meno visibile la propria attività e di ottenere ulteriori capacità operative.

La catena d’infezione sfrutta diversi componenti normalmente destinati a funzioni amministrative, di accessibilità o sviluppo:

• Android Accessibility Service;
• Wireless Debugging;
• Android Debug Bridge, o ADB;
• API per la gestione del dispositivo;
• privilegi Device Administrator.

L’abuso dell’accessibilità è centrale. Il servizio consente al malware di leggere gli elementi mostrati sullo schermo, individuare i pulsanti e interagire con le applicazioni come farebbe un utente.

Il pairing wireless apre una strada verso la shell

L’elemento più significativo della nuova analisi è l’automazione del meccanismo Android Wireless Debugging. ToxicPanda 2.0 può aprire le opzioni sviluppatore simulando i sette tocchi sul numero di build, quindi abilitare il debug wireless.

Attraverso Accessibility Service, il malware legge dal display il codice di associazione a sei cifre. Completa poi la procedura crittografica di pairing e stabilisce una connessione ADB, cercando di non mostrare chiaramente all’utente l’attivazione della modalità sviluppatore.

Questo passaggio amplia molto il controllo ottenibile. Con ADB, ToxicPanda può eseguire comandi senza dipendere dai normali messaggi di autorizzazione visibili all’utente. Può inoltre:

• assegnarsi permessi aggiuntivi;
• ridurre le restrizioni sulle attività in background;
• attivare componenti Android senza un consenso evidente;
• rafforzare la persistenza;
• eseguire comandi a livello di shell.

La stessa automazione dei clic viene adattata alle interfacce personalizzate dei produttori. Zimperium cita Xiaomi, Samsung, Huawei e altre versioni modificate di Android: il malware può quindi gestire dialoghi e conferme differenti a seconda del dispositivo.

Credenziali, codici di sblocco e frodi finanziarie

ToxicPanda identifica l’applicazione aperta e la confronta con il proprio elenco di 349 obiettivi. Quando riconosce un servizio finanziario, può sovrapporre una schermata di accesso contraffatta per catturare le credenziali.

Gli operatori dispongono anche di tecniche più invasive. Un livello trasparente e invisibile può intercettare tocchi, PIN e altri input, mentre l’accesso agli elementi dell’interfaccia permette di sottrarre ciò che viene visualizzato sul display.

Il malware può inoltre mostrare una replica della schermata di blocco Android. In questo modo tenta di acquisire PIN, sequenze grafiche e password del dispositivo. Il codice di sblocco può consentire agli attaccanti di mantenere o recuperare l’accesso anche dopo la fase iniziale dell’infezione.

Il controllo remoto permette di manipolare le sessioni nelle app bancarie e di criptovalute. Tra gli impieghi possibili rientrano l’automazione di operazioni, la modifica delle impostazioni e la conduzione di frodi direttamente dal terminale compromesso.

167 comandi e nuove funzioni operative

ToxicPanda 2.0 dispone di 167 comandi remoti. Alcune funzioni che una precedente analisi di Cleafy aveva considerato non operative risultano invece funzionanti nella nuova versione.

Tra le capacità documentate figurano:

• automazione delle finestre di autorizzazione specifiche dei produttori;
• richiesta dei privilegi Device Administrator tramite una falsa notifica di “servizio di sistema”;
• reimpostazione remota della password della schermata di blocco attraverso API Android legittime;
• caricamento di una pagina controllata dall’attaccante in un overlay a schermo intero;
• controllo remoto e monitoraggio del display;
• esecuzione di comandi tramite il set di istruzioni disponibile.

Queste funzioni combinano sorveglianza, furto di dati e amministrazione del dispositivo. L’attaccante può modificare il terminale senza dover introdurre un exploit specifico per una versione di Android.

AWS complica il blocco dell’infrastruttura

I campioni osservati vengono distribuiti utilizzando bucket ospitati su Amazon AWS. È un cambiamento rispetto a infrastrutture più improvvisate associate alle campagne precedenti.

L’uso di servizi cloud legittimi rende meno efficace il semplice blocco degli indirizzi IP. Interrompere interi intervalli AWS potrebbe infatti colpire traffico aziendale e applicazioni affidabili, senza distinguere automaticamente i contenuti dannosi.

La fonte non rende noti indicatori tecnici dettagliati sufficienti per un blocco universale dell’infrastruttura. La difesa deve quindi correlare più segnali: applicazioni sospette, richieste anomale di autorizzazioni, connessioni verso bucket insoliti e cambiamenti nelle impostazioni del dispositivo.

Cosa controllare sui dispositivi Android

Non è stata indicata una patch specifica, né una correzione per una vulnerabilità di Android. Non è inoltre noto se ToxicPanda 2.0 sia incluso nel catalogo KEV della CISA o se siano state fissate scadenze di remediation.

Le organizzazioni dovrebbero monitorare l’attivazione inattesa di Accessibility Service, Wireless Debugging, ADB e Device Administrator. Particolare attenzione va dedicata all’apertura automatizzata delle opzioni sviluppatore e ai tentativi di pairing wireless.

Sono da verificare anche:

• richieste VPN provenienti da applicazioni non attendibili;
• schermate d’installazione insolite o contraffatte;
• tentativi di ostacolare Google Play Protect;
• overlay sopra applicazioni bancarie;
• finte schermate di blocco o pagine a schermo intero;
• modifiche non richieste a password, permessi e attività in background;
• attivazione inattesa di componenti Android;
• connessioni verso bucket AWS sospetti.

Le sole firme statiche possono non bastare. ToxicPanda 2.0 utilizza strumenti normali del sistema operativo, trasformandoli in canali per leggere lo schermo, autorizzare operazioni e ottenere controllo remoto. La priorità è quindi individuare combinazioni anomale di comportamenti legittimi, non soltanto cercare un file già conosciuto.