ToxicPanda 2.0: il trojan bancario Android che ora punta all’identità aziendale

Un trojan bancario nato per svuotare conti correnti in America Latina e in Europa si è trasformato in una minaccia molto più ambiziosa. ToxicPanda 2.0, la nuova variante analizzata dai ricercatori di Zimperium zLabs (autore Vishnu Pratapagiri), non si limita più a intercettare credenziali bancarie: punta ad assumere il controllo totale del dispositivo Android, a persistere nel tempo e a usare lo smartphone come trampolino verso le risorse aziendali. I numeri della ricerca raccontano l’evoluzione: 167 nuovi comandi remoti, un target passato da 16 istituti finanziari a 349 applicazioni tra banking, wallet elettronici e criptovalute, e una presenza osservata in 16 Paesi. La prima comparsa di ToxicPanda risale a novembre 2024, quando il malware operava in America Latina, Italia, Portogallo e Spagna. Oggi la variante 2.0 cambia scala e ambizioni.

Dall’America Latina ai dispositivi enterprise: cosa è cambiato

Nel novembre 2024 ToxicPanda era un classico trojan bancario Android: prendeva il controllo del dispositivo infetto per facilitare transazioni fraudolente, con un focus su un numero ristretto di istituti finanziari. La nuova versione, scoperta di recente, ha ampliato drasticamente il raggio d’azione.

Il salto più evidente è nel numero di applicazioni prese di mira: da 16 a 349. Non si tratta più solo di app bancarie, ma anche di wallet elettronici e portafogli di criptovalute. Questo significa che il malware non cerca soltanto il conto corrente della vittima, ma ogni tipo di valore digitale accessibile dal telefono, comprese le chiavi per accedere a fondi decentralizzati.

Ma l’espansione geografica è altrettanto rilevante. Se la prima versione colpiva quattro Paesi, la variante 2.0 è stata osservata in 16. Non sono stati resi noti quali, ma la diversificazione suggerisce una campagna distribuita su scala più ampia, probabilmente facilitata da infrastrutture cloud difficili da bloccare.

I ricercatori di Zimperium zLabs hanno identificato questa evoluzione analizzando il codice e i server di comando e controllo. L’aggiunta di 167 comandi remoti è un indicatore chiaro: ToxicPanda non è più un semplice strumento per rubare password, ma una piattaforma modulare pronta a eseguire nuove funzioni a seconda del contesto.

Come ruba il PIN: l’overlay del blocco schermo

Uno dei nuovi comportamenti più pericolosi è l’uso di un overlay del blocco schermo. Quando la vittima sblocca il telefono, il malware sovrappone una falsa schermata di blocco che registra il PIN o la sequenza inserita. Il dato rubato, memorizzato in chiaro o trasferito al server dell’attaccante, consente di superare la prima barriera di protezione del dispositivo.

Ma il furto del PIN non è fine a se stesso. ToxicPanda 2.0 dispone anche dei privilegi necessari per azzerare la password del dispositivo. In combinazione, queste due capacità permettono all’attaccante di ottenere l’ancora di identità più solida che esista su uno smartphone: il controllo completo del sistema operativo, con la possibilità di autenticarsi come legittimo proprietario.

Questa combinazione è devastante perché il telefono compromesso è spesso lo stesso dispositivo che approva le richieste push di autenticazione a più fattori, custodisce le passkey e ospita le app di lavoro. Se il malware riesce a entrare nel dispositivo come utente privilegiato, tutti gli account collegati diventano accessibili.

La porta sul retro: Wireless Debugging e ADB

Il passaggio tecnico più significativo riguarda l’abuso delle funzionalità di debug di Android. Android 11 ha introdotto il Wireless Debugging, una funzione pensata per gli sviluppatori che permette di collegare il telefono a un computer senza cavo USB. ToxicPanda 2.0 la trasforma in una backdoor.

Il meccanismo funziona così. Attraverso i servizi di accessibilità, il malware abilita le opzioni sviluppatore sul dispositivo. Poi attiva il Wireless Debugging, estrae il codice temporaneo di pairing richiesto per associare un client ADB (Android Debug Bridge) e completa l’associazione con il servizio ADB del telefono. A questo punto l’attaccante ottiene un accesso a livello shell.

Da lì, il gioco è fatto: può eseguire comandi diretti sul dispositivo, concedersi permessi aggiuntivi, indebolire le restrizioni del sistema operativo, abilitare componenti di sistema e stabilire persistenza. In pratica, il malware trasforma il telefono in un endpoint controllato in remoto, con gli stessi poteri di un amministratore.

Questo attacco sfrutta una funzione legittima e necessaria per gli sviluppatori, ma che nella maggior parte dei dispositivi aziendali non dovrebbe essere mai attiva. Il problema è che la sua attivazione è silenziosa: non genera notifiche visibili all’utente medio, e spesso non viene monitorata dai sistemi di gestione.

La distribuzione passa da AWS: cloud legittimo come vettore

Un elemento che complica il rilevamento è la scelta dell’infrastruttura di distribuzione. ToxicPanda 2.0 viene servito attraverso bucket ospitati su Amazon Web Services. Non si tratta di server bulletproof o di domini sospetti: è infrastruttura cloud legittima, con certificati validi e reputazione pulita.

Questa scelta rende più difficile bloccare il download del malware tramite blacklist o firewall basati su reputazione. I bucket AWS possono essere creati, rinominati e riciclati rapidamente, e il traffico verso di essi è indistinguibile da quello verso servizi cloud aziendali legittimi.

Per un’azienda, questo significa che una semplice policy di blocco dei domini malevoli non basta. Serve un controllo più profondo, capace di ispezionare il contenuto dei file scaricati e di rilevare comportamenti anomali sul dispositivo, indipendentemente dalla provenienza.

L’impatto sull’identità digitale e sulle risorse enterprise

Il danno economico diretto alle 349 app prese di mira è solo la punta dell’iceberg. Il controllo persistente del dispositivo consente all’attaccante di manipolare l’autenticazione, rubare credenziali, alterare applicazioni e usare l’endpoint come trampolino verso altre risorse aziendali.

Se il telefono compromesso è registrato nei sistemi di identità dell’azienda, le conseguenze possono essere gravi. L’attaccante può intercettare le richieste push MFA, utilizzare le passkey archiviate sul dispositivo, accedere alla posta elettronica aziendale, ai documenti condivisi e alle applicazioni SaaS. Il telefono diventa una chiave universale.

Zimperium sottolinea che i tradizionali livelli di sicurezza basati su firme non sono più sufficienti. La variante 2.0 è progettata per sfuggire ai rilevamenti statici e per agire in profondità, sfruttando funzionalità del sistema operativo che raramente vengono controllate.

Bradley Smith, SVP e deputy CISO di BeyondTrust, mette in guardia soprattutto sulla combinazione tra furto del PIN e reset della password del dispositivo. «L’attaccante ottiene l’ancora di identità», spiega, «e con essa l’accesso a tutti gli account che vi fanno capo». Il rischio, in sintesi, non è il singolo conto corrente: è l’intera identità digitale della vittima e della sua azienda.

Cosa possono fare le aziende: monitorare i segnali che già esistono

Le mitigazioni proposte da Zimperium puntano su una protezione completa e multilivello, in grado di interrompere il malware in più fasi della catena di attacco. Non esiste una singola patch o configurazione risolutiva: serve una combinazione di controlli tecnici e organizzativi.

Bradley Smith di BeyondTrust indica tre azioni concrete. La prima è bloccare il sideloading sui dispositivi registrati nei sistemi di identità aziendali: ToxicPanda 2.0 non passa dagli store ufficiali, quindi impedire l’installazione di app da fonti sconosciute riduce drasticamente il rischio iniziale.

La seconda è trattare le concessioni dei servizi di accessibilità come eventi ad accesso privilegiato. Su Android, i servizi di accessibilità sono uno strumento potente che permette a un’app di leggere e manipolare lo schermo e le interazioni. ToxicPanda li sfrutta per abilitare il debug e rubare credenziali. Ogni concessione di questi permessi dovrebbe essere registrata, verificata e revocata se non giustificata.

La terza è generare alert quando Developer Options o Wireless Debugging vengono attivati sui dispositivi mobili gestiti. Questi segnali sono già visibili dalla maggior parte delle piattaforme MDM (Mobile Device Management), ma raramente vengono monitorati. Un alert tempestivo può fermare l’attacco prima che il malware completi l’associazione ADB e ottenga l’accesso shell.

In sintesi, ToxicPanda 2.0 non è una minaccia che si risolve con un aggiornamento. È un attacco che sfrutta funzionalità di sistema legittime e infrastrutture cloud affidabili. Le aziende devono attivare controlli che già possiedono ma che spesso ignorano, e trattare i dispositivi mobili come endpoint critici al pari dei server.