Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il trojan bancario ToxicPanda 2.0, scoperto dai ricercatori di Zimperium, ruba PIN e password da oltre 349 app bancarie e crittografiche in 16 paesi, intercettando anche le password di blocco degli smartphone e attivando funzioni di Android per ottenere accesso esteso ai dispositivi.
Il trojan bancario ToxicPanda è tornato in una versione significativamente più pericolosa. ToxicPanda 2.0 ha imparato a rubare i PIN dei applicazioni bancarie e crittografiche, intercettare la password di blocco dello smartphone e attivare autonomamente le funzioni di Android che forniscono agli hacker un accesso esteso al dispositivo. I ricercatori di Zimperium hanno scoperto 167 comandi per il controllo remoto di uno smartphone infetto.
Anche la scala degli attacchi è aumentata. Il meccanismo di intercettazione dei PIN è progettato per più di 140 applicazioni bancarie e criptovalutarie. Un set separato di schermate di phishing permette di sostituire le interfacce di 349 applicazioni bancarie, finanziarie, criptovalutarie e portafogli elettronici in 16 paesi. La versione precedente di ToxicPanda studiata era orientata solo a 16 applicazioni bancarie.
Dopo l’infezione, ToxicPanda 2.0 riceve un elenco delle applicazioni installate insieme ai nomi dei pacchetti e alle icone e invia le informazioni al server di controllo. Quando il proprietario dello smartphone apre un’applicazione bancaria di interesse per i criminali, il server invia una falsa copia. Il programma dannoso sovrappone un’interfaccia HTML falsa sopra la finestra reale della banca e chiede di inserire login, password, PIN o altre informazioni. I dati inseriti vengono inviati agli operatori del trojan.
Gli autori di ToxicPanda, riportano i ricercatori di sicurezza, hanno aggiunto anche un metodo più nascosto per intercettare i PIN. Il trojan monitora tramite il servizio di accessibilità di Android le applicazioni in esecuzione e, quando viene aperta una banca o un portafoglio, posiziona uno strato trasparente sopra lo schermo e registra i tocchi dell’utente. L’elenco delle applicazioni per tale attacco i criminali possono cambiarlo da remoto, quindi l’insieme delle potenziali vittime non è limitato alla configurazione trovata dai ricercatori.
Una funzione particolarmente insolita è diventata l’attivazione automatica del debug wireless di Android. Ottenendo accesso al servizio di accessibilità, ToxicPanda 2.0 apre le impostazioni dello smartphone, trova la voce con il numero di build e simula sette clic per attivare la modalità sviluppatore. Successivamente, il trojan passa al Wireless Debugging, attiva il debug wireless, avvia l’abbinamento, legge il codice a sei cifre e si connette all’interfaccia ADB locale. Dopo tale procedura, il programma dannoso ottiene i diritti dell’utente shell e può eseguire comandi che non sono disponibili per un’applicazione normale.
Gli sviluppatori del trojan hanno anche aggiunto una schermata di blocco falsa ad Android. ToxicPanda mostra una copia dell’interfaccia di sistema e intercetta il PIN, il pattern grafico o la password di sblocco. In altri campioni, i ricercatori hanno trovato una simulazione a schermo intero di un aggiornamento di sistema che nasconde le azioni in background del programma dannoso.
La prima fase dell’attacco è anch’essa progettata per ingannare il proprietario dello smartphone. Il loader mostra una falsa finestra di installazione e chiede di consentire la creazione di una connessione VPN.
Ottenuto tale permesso, il programma dannoso può bloccare le richieste di rete di Google Play e dei servizi Google, dopodiché scompone il componente principale e ottiene accesso al servizio di accessibilità. I ricercatori hanno anche scoperto campioni di ToxicPanda 2.0 nei repository di Amazon AWS, che i criminali hanno utilizzato per la distribuzione di file.
ToxicPanda 2.0 non sfrutta una singola vulnerabilità magica che rompe istantaneamente Android. Una parte significativa dell’attacco si basa sul social engineering e sull’abuso di funzioni del sistema. L’utente viene indotto a installare un’applicazione dannosa e a concederle permessi sensibili. Pertanto, è particolarmente importante prestare attenzione ai file APK provenienti da fonti casuali e alle applicazioni che, senza una ragione comprensibile, richiedono accesso alle funzioni speciali di Android, VPN o altre funzioni di sistema.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/