Tre trojan bancari rilanciano la minaccia contro Android e Windows

Le segnalazioni raccolte il 22 agosto 2026 descrivono tre famiglie di malware nuove o aggiornate: Manic, Grandoreiro e ToxicPanda 2.0. Colpiscono smartphone Android e computer Windows con tecniche diverse, ma condividono un obiettivo: sottrarre credenziali, controllare i dispositivi e facilitare frodi bancarie o legate alle criptovalute.

Manic trasforma gli smartphone Android in nodi di sorveglianza

ThreatFabric ha analizzato Manic, un malware Android che unisce funzioni da trojan bancario e spyware. La principale area di attività è l’Ucraina, dove sono stati presi di mira istituti bancari, servizi governativi e applicazioni di messaggistica.

La minaccia è stata osservata anche contro istituzioni finanziarie russe ed europee, piattaforme globali di criptovaluta e fintech, oltre ad applicazioni di messaggistica utilizzate in ambienti militari.

Manic può arrivare attraverso siti web malevoli o dropper, cioè componenti incaricati di installare il malware sul dispositivo. Dopo l’esecuzione, è in grado di registrare ciò che l’utente digita, mostrare schermate di phishing e consentire il controllo remoto dello smartphone.

Le sue capacità non si limitano alle operazioni bancarie. Il trojan può monitorare le notifiche, seguire la posizione del dispositivo, raccogliere file e sorvegliare il telefono a distanza. Le notifiche possono inoltre rivelare codici temporanei, messaggi di autenticazione o informazioni utili per completare una frode.

L’elemento più insolito è il sistema di inoltro mesh offline. Se lo smartphone infetto non riesce a raggiungere direttamente il server di comando e controllo, può trasferire i dati attraverso altri dispositivi compromessi nelle vicinanze. Il collegamento può sfruttare Wi‑Fi Direct o Bluetooth.

In questo modo, l’assenza di una connessione diretta verso l’infrastruttura criminale non interrompe necessariamente l’esfiltrazione. I dispositivi infetti possono funzionare come intermediari, creando una rete locale tra loro.

Grandoreiro sfrutta un programma legittimo su Windows

Grandoreiro resta attivo soprattutto in America Latina, con il Messico al centro della campagna più recente monitorata da Acronis. Il trojan, originario del Brasile e presente da circa un decennio, continua a colpire anche obiettivi in Europa e Nord America.

A differenza di Manic e ToxicPanda, Grandoreiro opera su Windows. I campioni più recenti abusano di Duplicate Files Finder, un’applicazione legittima, per caricare codice dannoso mediante DLL sideloading.

La tecnica sfrutta il modo in cui un programma cerca e carica le proprie librerie. Se nella posizione prevista viene collocata una DLL manipolata, l’applicazione autentica può finire per eseguire anche il componente malevolo. L’uso di un software reale rende l’attività più difficile da distinguere dai normali processi presenti sulla macchina.

Il campione iniziale contiene inoltre un apparato esteso di anti-analisi. Grandoreiro controlla la presenza di sandbox, verifica gli artefatti associati alle macchine virtuali, analizza i processi in esecuzione e profila l’ambiente operativo.

Sono presenti anche blacklist di processi e controlli destinati a eludere i sistemi automatici di analisi. Queste verifiche precedono il tentativo di contattare l’infrastruttura di comando e controllo: il malware cerca quindi prima di capire se si trova su un computer reale o in un ambiente usato dai ricercatori.

Il comportamento complica il lavoro dei team difensivi. Un campione può rimanere inattivo durante l’analisi automatizzata e attivarsi soltanto quando rileva condizioni compatibili con una workstation utilizzata quotidianamente.

ToxicPanda 2.0 amplia drasticamente gli obiettivi finanziari

Zimperium ha individuato ToxicPanda 2.0, una variante aggiornata del trojan bancario Android noto per la sua attività soprattutto in Europa.

Il cambiamento più evidente riguarda la superficie di attacco. La nuova versione contiene una lista di quasi 350 applicazioni finanziarie, mentre le versioni precedenti ne prendevano di mira soltanto 16. Il malware è progettato per colpire istituzioni finanziarie distribuite in 16 Paesi.

Tra gli Stati indicati figurano Pakistan, Sudafrica, Messico, Nigeria, India, Indonesia e Panama. Il perimetro comprende quindi mercati molto diversi e non è limitato a un singolo sistema bancario nazionale.

ToxicPanda 2.0 supporta 167 comandi remoti. Gli operatori possono così impartire numerose istruzioni al dispositivo compromesso, adattando il comportamento del trojan al modello di smartphone, all’applicazione finanziaria utilizzata o alla fase della frode.

La variante introduce anche un meccanismo automatizzato basato sui clic per abusare di Android Wireless Debugging, noto anche come ADB. Questa funzione può consentire un’escalation dei privilegi e l’accesso alla shell del dispositivo.

Un accesso shell offre agli attaccanti una superficie di controllo più ampia rispetto alla semplice sovrapposizione di una pagina falsa. Può permettere di eseguire comandi, interrogare il sistema e interagire con componenti normalmente non accessibili alle applicazioni comuni, in base ai privilegi ottenuti.

È cambiata infine la distribuzione. I campioni osservati sono ospitati in bucket Amazon AWS, sfruttando infrastruttura cloud legittima o comunque ampiamente disponibile per consegnare il malware alle vittime.

Tre strategie diverse per arrivare alla frode

Le tre famiglie mostrano approcci complementari.

Manic combina furto di dati, sorveglianza, controllo remoto e comunicazione tra dispositivi infetti. Il suo impatto può estendersi oltre il conto bancario, coinvolgendo file, posizione, notifiche e conversazioni presenti sullo smartphone.

Grandoreiro punta invece sulla compromissione di Windows attraverso software legittimo e DLL sideloading. Le difese anti-sandbox e anti-virtualizzazione cercano di ridurre la possibilità che il malware venga identificato durante l’analisi.

ToxicPanda 2.0 amplia il numero di applicazioni finanziarie aggredibili e aggiunge un sistema di controllo remoto molto più articolato. L’abuso di ADB aumenta inoltre il rischio di accesso a basso livello al dispositivo.

Le vittime potenziali comprendono utenti Android, dipendenti che utilizzano workstation Windows, banche, servizi fintech, piattaforme di criptovaluta, enti governativi e applicazioni di messaggistica. Le conseguenze possono includere furto di credenziali, intercettazione di notifiche, esfiltrazione di file, tracciamento della posizione e transazioni fraudolente.

Cosa controllare e quali informazioni mancano

Non sono stati comunicati identificativi CVE, versioni software interessate, patch, indicatori di compromissione o procedure di rimozione specifiche. Non è inoltre noto un eventuale inserimento di queste minacce nel catalogo KEV della CISA.

Sul piano operativo, gli amministratori dovrebbero prestare attenzione a installazioni provenienti da siti non ufficiali e a dropper Android associati a Manic. Vanno esaminate anche richieste anomale di controllo remoto, accessi insoliti a notifiche, posizione, file e funzioni di accessibilità.

Nel caso di Grandoreiro, l’esecuzione inattesa di Duplicate Files Finder, il caricamento anomalo di DLL e i controlli anti-analisi costituiscono segnali da correlare con telemetria di processo e rete. Per ToxicPanda 2.0 meritano particolare attenzione le connessioni verso bucket AWS sospetti, l’attivazione non prevista di Wireless Debugging e l’uso anomalo di ADB o della shell.

Gli utenti dovrebbero installare applicazioni soltanto da canali affidabili, mantenere disattivato il debugging wireless quando non serve e verificare con la banca ogni operazione inattesa. Per le organizzazioni, il monitoraggio centralizzato di dispositivi mobili, processi Windows e accessi alle applicazioni finanziarie resta essenziale, perché non sono disponibili correzioni dedicate da applicare a queste tre famiglie.