Android si scopre governato dai suoi stessi permessi
Zimperium ha scoperto ToxicPanda 2.0, un Android banking Trojan che allarga il bersaglio a oltre 140 app bancarie e crypto e a 349 istituti finanziari. Il punto non è un bug di Android: il malware usa permessi legittimi del sistema per restare dentro e per tornare sul dispositivo anche dopo la rimozione dell'app malevola.
Il trucco è prendere il controllo dove l'utente si fida del telefono. ToxicPanda sovrappone una finta schermata di login all'app reale, così password e PIN finiscono nella finestra dell'attaccante; in più abusa di Accessibility, wireless debugging e MDM per ottenere comandi ad alto privilegio, aggirare i prompt di consenso e mantenere la persistenza. Può anche rubare le credenziali di sblocco del dispositivo, trasformando un singolo endpoint compromesso in un accesso duraturo.
Per chi gestisce flotte Android, il segnale è che sideloading, accessibilità e opzioni sviluppatore sono parte della superficie d'attacco quanto le app finanziarie stesse. Qui non c'è una patch da applicare: resta da governare chi ottiene quei permessi e monitorare quando si attivano sui dispositivi gestiti.
ToxicPanda Android malware uses VPN permissions to block Google Play
The ToxicPanda Android malware has evolved with new malicious functionality, expanding its targeting to 349 applications and adding support for 167 remote commands.