Android si scopre governato dai suoi stessi permessi
Zimperium ha scoperto ToxicPanda 2.0, un Android banking Trojan che allarga il bersaglio a oltre 140 app bancarie e crypto e a 349 istituti finanziari. Il punto non è un bug di Android: il malware usa permessi legittimi del sistema per restare dentro e per tornare sul dispositivo anche dopo la rimozione dell'app malevola.
Il trucco è prendere il controllo dove l'utente si fida del telefono. ToxicPanda sovrappone una finta schermata di login all'app reale, così password e PIN finiscono nella finestra dell'attaccante; in più abusa di Accessibility, wireless debugging e MDM per ottenere comandi ad alto privilegio, aggirare i prompt di consenso e mantenere la persistenza. Può anche rubare le credenziali di sblocco del dispositivo, trasformando un singolo endpoint compromesso in un accesso duraturo.
Per chi gestisce flotte Android, il segnale è che sideloading, accessibilità e opzioni sviluppatore sono parte della superficie d'attacco quanto le app finanziarie stesse. Qui non c'è una patch da applicare: resta da governare chi ottiene quei permessi e monitorare quando si attivano sui dispositivi gestiti.