ToxicPanda 2.0 sfrutta la VPN per bloccare Google Play e controllare gli smartphone Android

Il malware amplia la portata dell’attacco

ToxicPanda è stato aggiornato alla versione 2.0, con una capacità di targeting molto più ampia rispetto alle precedenti varianti. L’analisi di Zimperium descrive un malware in grado di colpire 349 applicazioni bancarie, finanziarie, crypto ed e-wallet distribuite in 16 Paesi.

La campagna osservata di recente utilizza bucket ospitati su Amazon AWS per distribuire i componenti malevoli. Non sono state rese note informazioni complete sulla catena di infezione, né un elenco delle versioni di Android vulnerabili. ToxicPanda, però, sfrutta funzioni presenti nel sistema operativo e nei dispositivi compatibili, tra cui il Wireless Debugging disponibile da Android 11.

La nuova versione supporta 167 comandi remoti. Questa caratteristica consente agli operatori di modificare il comportamento dell’infezione dopo la compromissione, aggiornare dinamicamente i bersagli e impartire istruzioni specifiche al dispositivo.

L’obiettivo principale è il furto di dati di autenticazione e il controllo delle applicazioni finanziarie. Il malware può sottrarre credenziali, PIN, password e sequenze di sblocco, oltre a intercettare ciò che l’utente digita o seleziona sullo schermo.

Il permesso VPN diventa uno strumento di difesa per l’attaccante

Uno degli aspetti più rilevanti di ToxicPanda 2.0 è l’abuso del permesso VPN Service. Il malware crea un’interfaccia VPN locale e instrada attraverso di essa il traffico dello smartphone.

La funzione non serve necessariamente a inviare tutto il traffico verso un server remoto. In questo caso viene utilizzata soprattutto per filtrare e bloccare le comunicazioni dirette a Google Play e Google Play Services.

Il blocco viene applicato prima dell’estrazione e dell’installazione del payload. In questo modo il dispositivo può perdere o ritardare comunicazioni legate alla verifica delle applicazioni, agli aggiornamenti, a Play Protect e ad altre funzioni di sicurezza dell’ecosistema Google.

L’utente può visualizzare una richiesta apparentemente legittima per l’attivazione di una VPN. Se concede il permesso, ToxicPanda ottiene una posizione privilegiata nel percorso del traffico locale e può impedire che i controlli di Google raggiungano correttamente il dispositivo.

Dopo questa fase, il malware richiede anche Accessibility Service. Si tratta di un servizio pensato per assistere le persone con disabilità, ma spesso abusato dai malware perché consente di leggere elementi dell’interfaccia, simulare interazioni e premere pulsanti al posto dell’utente.

Overlay invisibili e schermate false per rubare PIN e password

ToxicPanda dispone di moduli distinti per colpire applicazioni finanziarie. Uno di questi prende di mira 140 app bancarie e crypto e mantiene una lista dei bersagli modificabile dinamicamente.

Il malware può sovrapporre finestre alle applicazioni legittime. Gli overlay possono essere difficili da vedere e catturare gli input tattili mentre la vittima crede di utilizzare il proprio istituto bancario, un exchange o un portafoglio elettronico.

Questa tecnica permette di intercettare credenziali, codici personali e altre informazioni inserite durante il login o una transazione. L’applicazione originale può rimanere visibile in sottofondo, rendendo meno evidente la sostituzione dell’interfaccia.

ToxicPanda può inoltre riprodurre la schermata di blocco di Android. La vittima può quindi digitare PIN, password o sequenze di sblocco in una finestra controllata dal malware, convinta di stare autenticandosi sul dispositivo.

Alcuni campioni analizzati mostrano anche schermate contraffatte di aggiornamento del sistema. Il falso aggiornamento può servire a giustificare comportamenti anomali, ritardare la reazione dell’utente e mascherare l’attività del malware mentre vengono concessi nuovi privilegi.

L’impatto non riguarda soltanto il furto delle credenziali. La combinazione di overlay, accessibilità e controllo del traffico può consentire di manipolare il flusso operativo di numerose applicazioni finanziarie.

L’abuso di Wireless Debugging rafforza la persistenza

La funzione più avanzata osservata in ToxicPanda 2.0 riguarda Android Debug Bridge, o ADB. È lo strumento che permette di eseguire comandi shell sul dispositivo; il Wireless Debugging consente di utilizzarlo attraverso la rete Wi-Fi senza collegamento USB.

Sfruttando Accessibility Service, il malware può aprire le Opzioni sviluppatore, attivare il Wireless Debugging, recuperare il codice di associazione ADB a sei cifre e individuare la porta di comunicazione. Può quindi collegarsi al servizio ADB locale dello smartphone.

Una volta ottenuti i permessi dell’utente shell, ToxicPanda esegue comandi tramite il demone ADB. Questo gli permette di aggirare alcune richieste standard di consenso di Android, concedere autorizzazioni aggiuntive e attivare componenti senza mostrare necessariamente gli avvisi abituali.

ADB può inoltre essere utilizzato per ridurre l’efficacia dei meccanismi che terminano i processi in background. Il malware consolida così la propria persistenza e aumenta la probabilità di restare attivo dopo il riavvio o durante l’utilizzo quotidiano del dispositivo.

Il comando remoto autoBoot identifica il produttore dello smartphone e apre le impostazioni OEM dedicate all’avvio automatico o alla gestione energetica. La procedura mira a disattivare o aggirare le restrizioni che limitano i processi in background.

Sono indicati dispositivi Xiaomi, OPPO, Vivo, Samsung e Huawei. Le impostazioni possono cambiare tra produttori e modelli, ma il principio è lo stesso: mantenere attivo il malware evitando che il sistema lo chiuda per contenere il consumo della batteria.

L’abuso del Wireless ADB non è esclusivo di ToxicPanda. Group-IB ha descritto un meccanismo analogo nell’ultima versione di RedHook, segnalando una tecnica che può diventare sempre più comune nelle campagne Android.

Come controllare un dispositivo potenzialmente colpito

Zimperium ha pubblicato su GitHub l’elenco degli indicatori di compromissione associati alla versione più recente di ToxicPanda. Il primo intervento consiste quindi nel confrontare gli IoC con gli eventi e i dati disponibili sui dispositivi aziendali o personali.

Gli utenti dovrebbero prestare attenzione a richieste inattese per attivare una VPN, concedere Accessibility Service o abilitare le Opzioni sviluppatore. Anche il Wireless Debugging attivato senza una scelta consapevole costituisce un segnale da verificare.

È opportuno controllare inoltre la presenza di overlay insoliti, schermate di aggiornamento comparse fuori dal normale ciclo del produttore e richieste ripetute di PIN o credenziali. Le anomalie nelle impostazioni di avvio automatico e nella gestione energetica meritano la stessa attenzione.

Non sono state indicate misure correttive specifiche né una procedura ufficiale di rimozione associata a ToxicPanda 2.0. In caso di sospetta compromissione, il monitoraggio degli IoC e la raccolta dei segnali descritti sono le azioni direttamente supportate dalle informazioni disponibili.

Il rischio operativo è elevato per chi utilizza app bancarie, servizi crypto e portafogli elettronici. Non è stato assegnato un punteggio CVSS, perché non si tratta della descrizione di una singola vulnerabilità software, ma di una campagna malware che combina abuso dei permessi, intercettazione dell’interfaccia e persistenza tramite ADB.