ToxicPanda 2.0: il trojan Android che blocca Google Play
Zimperium ha analizzato ToxicPanda 2.0, una nuova versione del trojan bancario Android già noto, ora capace di 167 comandi remoti. La novità più rilevante: il dropper chiede il permesso VPN e lo usa per bloccare le comunicazioni di rete verso Google Play e Google Play Services, prima ancora di installare il payload malevolo. Il malware punta a 349 app bancarie, finanziarie, wallet e crypto in 16 Paesi, e include un meccanismo separato di furto PIN su oltre 140 di quelle app.
✍️ Rocco Caiazza — Fondatore di ScelgoIo | 24 agosto 2026
ToxicPanda circola dal 2024, soprattutto in Europa. Quello che cambia con la versione 2.0 non è solo la scala, ma il modo in cui il malware prepara il terreno prima di installarsi: sfrutta un permesso che può sembrare legittimo — lo stesso richiesto anche da app VPN e di sicurezza affidabili — per tagliare fuori le protezioni di Google. Ricostruisco qui cosa dice davvero il report Zimperium, cosa i titoli più veloci rischiano di semplificare, e cosa puoi controllare tu stesso sul telefono.
Cosa è successo
Secondo Zimperium zLabs, il team ha identificato una variante aggiornata di ToxicPanda, il trojan bancario Android già documentato da Cleafy nel 2024. La nuova versione porta il set di comandi remoti a 167 — molti dei quali, nella versione precedente, risultavano presenti nel codice ma non ancora funzionanti — ed espande drasticamente il numero di applicazioni bersaglio: da appena 16 app bancarie della versione originale a 349 app bancarie, finanziarie, wallet ed exchange di criptovalute, distribuite in 16 Paesi.
A questo si aggiunge un meccanismo distinto, pensato specificamente per il furto del PIN: tramite un overlay trasparente e invisibile che intercetta il tocco sullo schermo, il malware può catturare il codice di sblocco di oltre 140 app bancarie e di criptovalute. Zimperium segnala anche il comando replacePinTargets, che permette agli operatori di aggiornare da remoto l'elenco delle app bersaglio senza dover distribuire una nuova versione del malware.
Come funziona l'attacco, passo dopo passo
Il punto tecnicamente più interessante — e quello con più valore pratico per chi legge — è la sequenza con cui il malware prepara il terreno prima di mostrare il proprio vero volto.
ToxicPanda 2.0 funziona come un dropper: un'app contenitore che nasconde il payload reale. Al primo avvio mostra una finta schermata di installazione dentro una WebView e chiede alla vittima di concedere il permesso per un servizio VPN. Una volta ottenuto, il malware crea un'interfaccia di rete locale che gli permette di controllare il traffico in transito — ed è proprio questa interfaccia a essere usata per bloccare le comunicazioni verso Google Play e Google Play Services, prima ancora che il payload venga installato. Secondo BleepingComputer, questo controllo a livello di rete permette di interferire con verifiche delle app, aggiornamenti e comunicazioni di Play Protect — non di "disattivarlo" in senso assoluto, ma di intralciarne il normale funzionamento nella finestra critica dell'installazione.
Con Google Play temporaneamente ostacolato, il malware decripta ed estrae il payload reale, conservato nella cartella assets dell'app, e lo installa. A quel punto richiede i permessi del Servizio di Accessibilità di Android — lo stesso sistema usato dai lettori di schermo e dagli strumenti di automazione legittimi — che gli permette di leggere il contenuto dello schermo, simulare tocchi e sovrapporre finte schermate a quelle reali.
Da qui, ToxicPanda 2.0 enumera tutte le app installate sul dispositivo e invia nomi pacchetto e icone al server C2, così da capire quali app bancarie o finanziarie la vittima ha davvero installato. Quando l'utente apre una delle 349 app monitorate, il malware richiede al server l'overlay HTML corrispondente e lo sovrappone alla schermata reale, imitando login e schermate di transazione per intercettare credenziali e dati sensibili.
Un'altra capacità aggiunta in questa versione riguarda il debug wireless (Wireless ADB), una funzione per sviluppatori introdotta con Android 11. Zimperium descrive un processo automatizzato in cinque fasi: il malware attiva le Opzioni sviluppatore simulando sette tocchi rapidi sul numero di build, attiva il debug wireless, intercetta il codice di associazione a 6 cifre che appare in una finestra di dialogo sullo schermo del dispositivo durante il pairing, completa uno scambio di chiavi crittografico (SPAKE2) con il demone ADB locale, e infine ottiene accesso a livello shell — un livello di controllo che gli permette di concedersi permessi ed eludere alcune richieste di consenso che normalmente comparirebbero a schermo.
ToxicPanda 2.0 può inoltre rubare PIN, sequenze e password della schermata di blocco tramite un overlay che imita l'interfaccia nativa di Android, e mostra una finta schermata "aggiornamento di sistema" a tutto schermo per nascondere l'attività in background mentre agisce. Per resistere ai meccanismi anti-batteria dei vari produttori (Xiaomi, OPPO, Vivo, Samsung, Huawei), usa il comando autoBoot per riconoscere il produttore del dispositivo e aggirarne le impostazioni di risparmio energetico che altrimenti chiuderebbero il processo in background.
Cosa NON significa questa notizia
Per onestà verso chi legge, è importante chiarire alcuni punti che i titoli più rapidi rischiano di semplificare:
- 349 non è il numero di app compromesse sul Play Store. È il numero di app bancarie, finanziarie e crypto che il malware è predisposto a imitare tramite overlay, se la vittima le ha installate. Nei campioni analizzati da Zimperium, ToxicPanda 2.0 è stato distribuito tramite bucket AWS e non tramite Google Play.
- Il malware non "disattiva" Google Play Protect come fatto assoluto. Blocca a livello di rete gli endpoint di comunicazione di Google Play e Google Play Services durante l'installazione, interferendo con verifiche e aggiornamenti — un meccanismo preciso e circoscritto, diverso da un'interruzione del servizio a livello di sistema operativo.
- Non è un'esclusiva assoluta in Italia. Al momento della pubblicazione risulta già una ripresa della notizia su punto-informatico.it; il vantaggio editoriale di ScelgoIo sta nello spiegare il meccanismo con precisione, non nell'essere i primi in assoluto a parlarne.
Perché conta anche se non usi quelle 349 app
Anche se nessuna delle app che usi rientra nella lista di ToxicPanda 2.0, la tecnica descritta da Zimperium merita attenzione per un motivo semplice: sfrutta un permesso — quello VPN — che concediamo spesso senza pensarci, perché lo chiedono anche app del tutto legittime. Non è un exploit segreto o una falla nel sistema operativo: è un uso scorretto di una funzione che Android mette a disposizione per scopi legittimi, reso possibile dal fatto che l'utente stesso concede il permesso in buona fede.
La mia lettura: quello che colpisce di più, guardando questa vicenda con l'occhio di chi vende smartphone tutti i giorni, non è la singola app bancaria presa di mira, ma la scala dell'automazione. Un malware che simula sette tocchi per attivare le opzioni sviluppatore, intercetta un codice di pairing e completa uno scambio di chiavi crittografico da solo, senza intervento umano in tempo reale, mostra quanto sia diventato sofisticato anche un trojan bancario "generico" — non serve più un attacco mirato su misura per ottenere questo livello di controllo su un telefono.
Come riconoscere i segnali e cosa fare
- Zimperium zLabs — report tecnico originale, fonte primaria di questo articolo
- BleepingComputer — approfondimento sul meccanismo di blocco di Google Play
- The Hacker News — ripresa della vicenda nel contesto più ampio delle minacce bancarie Android
- TechRadar — approfondimento sul trucco del permesso VPN
- Punto Informatico — la ripresa italiana della notizia, per trasparenza sulla non-esclusiva
Questo articolo non contiene link affiliati.
Se vuoi ridurre il rischio di infezioni come questa, su ScelgoIo trovi anche la guida su le impostazioni da cambiare per proteggere meglio privacy e sicurezza su Android e quella su come attivare l'autenticazione a due fattori su Gmail, WhatsApp e banca.
Domande frequenti
Autore: Rocco Caiazza – Fondatore di ScelgoIo
