Malware Android ToxicPanda sfrutta permessi VPN per bloccare Google Play

Il malware Android ToxicPanda ha evoluto le sue capacità, sfruttando permessi di rete per bloccare Google Play e sottrarre credenziali utente. L’analisi ha rivelato che la versione 2.0 del malware utilizza i permessi del servizio VPN per controllare il traffico di rete, impedendo comunicazioni con Google Play e Google Play Services. Questo permette al malware di installare il suo payload senza interruzioni, mentre richiede contemporaneamente i permessi per l’accessibilità. L’accesso al dispositivo avviene tramite il Wireless Debugging Bridge (ADB), un’interfaccia di debug che consente l’esecuzione di comandi shell. La capacità di sfruttare ADB è diventata una strategia comune tra i malware Android, come confermato da Zimperium.

Accesso al dispositivo e persistenza

Una volta ottenuti i permessi, il malware inizia a eseguire comandi di alto privilegio attraverso il daemon ADB, bypassando i prompt di consenso standard di Android. Questo gli permette di neutralizzare le restrizioni del sistema e di attivare componenti critici in modo silenzioso. Per mantenere la persistenza, il malware utilizza un comando chiamato “autoBoot”, che identifica il produttore del dispositivo e avvia le impostazioni specifiche del produttore per il riavvio automatico. Questo meccanismo evita i controlli di consumo di batteria su dispositivi come Xiaomi, OPPO, Vivo, Samsung e Huawei.

Phishing e sottrazione di credenziali

Il malware sfrutta anche overlay di aggiornamento falsi per ingannare gli utenti, permettendogli di catturare le interazioni con applicazioni finanziarie, criptovalute e portafogli elettronici. Gli overlay sono invisibili per il destinatario, consentendo al malware di registrare le pressioni sul touchscreen. Inoltre, il malware imita la schermata di blocco Android per raccogliere PIN, pattern di sblocco e password. La versione più recente del malware supporta 167 comandi remoti e mira a 349 applicazioni in 16 Paesi, con un modulo separato per il furto di credenziali su 140 app finanziarie. Secondo Zimperium, il malware è distribuito attraverso bucket ospitati su Amazon AWS. La sua capacità di bypassare le protezioni di consumo di batteria e di interrompere i controlli di sicurezza ha reso il suo impatto significativo. Il rapporto Blue Report 2026 ha analizzato le difese tecnicamente, eseguendo 338 milioni di simulazioni in ambienti produttivi. Una volta che gli attaccanti hanno credenziali valide, solo il 37% delle loro azioni viene bloccato, riducendo drasticamente la prevenzione.

• Il malware sfrutta i permessi del servizio VPN per bloccare Google Play.
• Utilizza ADB per ottenere accesso shell e mantenere la persistenza.
• Supporta 167 comandi remoti e mira a 349 applicazioni in 16 Paesi.

La crescente diffusione del sfruttamento di ADB tra i malware Android indica una tendenza in crescita, come confermato da Zimperium. Altri malware, come RedHook, hanno adottato metodi simili per ottenere accesso shell. La sicurezza dei dispositivi Android deve quindi adottare misure più rigorose per contrastare queste minacce, specialmente quelle che sfruttano le funzionalità di debug e di rete per evadere i controlli di sicurezza.