Conti bancari a rischio con ToxicPanda

Un malware bancario molto pericoloso e in grado di svuotare i conti correnti si sta rapidamente diffondendo dall’Asia (in modo particolare dalla Cina) all’Europa e ha colpito anche l'Italia.

L’allarme è stato lanciato dai tecnici di Cleafy (società che progetta e realizza software in ambito di cyber security e prevenzione delle frodi) e da numerosi esperti informatici che hanno spiegato come questo nuovo virus che attacca i sistemi Android degli smartphone, denominato ToxicPanda, sia più pericoloso e sofisticato delle vecchie versioni di TgToxic, un malware già conosciuto da tempo.

Secondo quanto riportato dai ricercatori, il malware ToxicPanda, che avrebbe colpito già in 1500 casi (di cui oltre il 50% in Italia), risulterebbe diffuso principalmente attraverso tecniche di Side-loading, tramite Social Engineering. In quest’ottica gli hacker, con sistemi molto sofisticati, spingono le potenziali vittime (con link inviati via email, SMS o messaggi su piattaforme di messaggistica) a prelevare e a installare app malevole opportunamente predisposte e apparentemente legittime.

In sintesi, chi finisce nel mirino dei truffatori crede di scaricare un’applicazione totalmente sicura, invece, installa sul proprio smartphone un virus in grado di rubare dati, password, codici Otp e addirittura svuotare i conti correnti.

Ecco come agisce il virus

Secondo gli esperti in frodi informatiche, il ToxicPanda è ancora in una fase iniziale del suo processo di crescita. Infatti, in alcuni comandi del codice sorgente sono ancora presenti parti non completamente sviluppate. Entrando nello specifico, il malware utilizza la tecnica di frode denominata On-Device Fraud (ODF), che sfrutta il controllo diretto del dispositivo infetto al fine di eseguire transazioni fraudolente. Si tratta di una vera e propria rivoluzione in materia di truffe bancarie informatiche. Infatti, grazie a questa nuova tecnologia, non è necessario l’intervento dell’utente o l’uso di credenziali rubate.

Il malware sviluppato dagli hacker permette ai malviventi di operare direttamente sul dispositivo compromesso, aggirando molte delle misure di sicurezza implementate dalle banche. In particolar modo, il ToxicPanda permette un abuso di servizi di accessibilità per ottenere permessi elevati, manipolare l’input utente e carpire dati da altre app, focalizzandosi principalmente verso le applicazioni bancarie.

In secondo luogo, il virus permette un controllo da remoto del dispositivo sotto attacco, permettendo ai malviventi di eseguire transazioni e modificare le impostazioni degli account senza che sia richiesta alcuna interazione utente. Inoltre, il malware, secondo quanto accertato dai tecnici, è in grado di intercettare anche le password OTP inviate via SMS (tipo quelle per l’uso dello Spid o quelle degli istituti di credito) superando così l’autenticazione di sicurezza a due fattori (2FA). Infine, il virus utilizza sistemi di offuscamento per evitare il rilevamento.

Diffusione geografica del malware bancario

I numeri sulla diffusione del ToxicPanda sono allarmanti. Secondo quanto si apprende dal report presentato da Cleafy, l'Italia è il principale hotspot, con il 56,8% dei dispositivi compromessi, segue il Portogallo, con il 18,7% dei dispositivi compromessi, il che indica un obiettivo secondario in Europa. Hong Kong è la terza regione più colpita, con il 4,6% e potrebbe rappresentare un banco di prova o un obiettivo emergente nei mercati asiatici. Anche Spagna e Perù sono presenti nell'elenco, sebbene abbiano quote più piccole, rispettivamente del 3,9% e del 3,4%. I dati suggeriscono che gli operatori stanno espandendo la loro attenzione dall’Europa all’America Latina e che il virus è particolarmente adattabile.

Come difendersi dagli attacchi

Difendersi dall’attacco del nuovo malware non è semplice. Gli hacker, infatti, hanno studiato una serie di sistemi per confondere le vittime che, in molti casi, sono convinte di agire su piattaforme legittime e di scaricare App o file da siti controllati. Gli esperti informatici hanno verificato come siano state riprodotte in modo fedelissimo le immagini di siti di vastissimo utilizzo e ritenuti sicuri dagli utenti. Gli utenti possono prevenire questa tipologia di infezioni installando software unicamente da store ufficiali, avendo comunque l’accortezza di visionare nelle recensioni la genuinità dell’applicazione. Si tratta di semplici accortezze che possono fare la differenza.