Una nuova variante del malware Android RedHook 2.0 sta prendendo di mira gli utenti Android. Il punto è semplice, e preoccupante: il malware permette ai criminali informatici di prendere il controllo dello smartphone e autorizzare operazioni bancarie senza farsi notare subito dalla vittima.
Dall’SMS al falso Play Store: così parte la catena dell’infezione
La truffa comincia quasi sempre da un contatto all’apparenza banale: un SMS, una mail, una telefonata, oppure un messaggio su WhatsApp, Telegram o altre app. Dall’altra parte c’è qualcuno che si spaccia per una banca, un corriere, un ente pubblico o un servizio clienti. Il copione è quello di sempre: “bisogna aggiornare l’app”, “manca una verifica”, “il pacco è bloccato”. Frasi viste mille volte, ma ancora capaci di far cadere in trappola molte persone.
Secondo Group-IB, RedHook 2.0 non parte sfruttando una falla di Android. Punta prima di tutto sull’ingegneria sociale: convince l’utente a fare il passo decisivo con le proprie mani. La vittima viene mandata su un sito falso, costruito per somigliare al Google Play Store o a un servizio conosciuto. Da lì scarica un file APK, cioè un’app installata manualmente fuori dai canali ufficiali. Ed è qui che dovrebbe scattare l’allarme: una banca, un servizio pubblico o un corriere non dovrebbero mai chiedere di attivare le origini sconosciute per completare una procedura.
Uno smartphone mostra un avviso di installazione su una scrivania: scenario tipico di truffe e malware bancari su Android.
Accessibilità e Wireless ADB: così RedHook si prende lo smartphone
Dopo l’installazione, l’app malevola chiede i permessi dei Servizi di Accessibilità, facendoli passare per indispensabili. In realtà, quei permessi le danno un potere enorme: può leggere ciò che compare sullo schermo, simulare tocchi, premere pulsanti e spostarsi nei menu del telefono. Poi arriva il passaggio più pericoloso. RedHook 2.0 usa quelle autorizzazioni per attivare Wireless ADB, una funzione reale di Android, nata per sviluppatori e test tecnici.
L’Android Debug Bridge serve ad amministrare il dispositivo, di solito da computer o tramite rete Wi-Fi. Ma nelle mani di un malware diventa una porta spalancata. Group-IB spiega che questa nuova variante può ottenere privilegi elevati sulla shell di sistema senza bisogno del root. In pratica, trasforma il telefono in un dispositivo comandato a distanza. A quel punto chi attacca può vedere lo schermo, digitare, sbloccare il dispositivo, aprire le app bancarie e autorizzare pagamenti o bonifici. Come se avesse lo smartphone in mano.
Persistenza, furti bancari e contromisure: cosa devono fare gli utenti Android
RedHook 2.0 è anche più difficile da rimuovere. Usa sistemi pensati per restare attivo perfino quando l’utente prova a chiudere l’app. Secondo Group-IB, il malware impiega un WakeLock, che mantiene vivi alcuni processi, e crea una finestra trasparente di un solo pixel, quasi impossibile da vedere, così da risultare ancora in primo piano per il sistema. I ricercatori citano anche una tecnica chiamata “cross-process resurrection”: due servizi si controllano a vicenda e, se uno viene chiuso, l’altro lo riavvia.
Google sta lavorando a nuove difese nella funzione Advanced Protection, con limiti più severi per l’uso delle Opzioni sviluppatore. Ma la difesa più concreta resta la prudenza. Le app vanno installate solo dal Play Store. Meglio evitare APK ricevuti via WhatsApp, Telegram, SMS o mail, non concedere permessi di Accessibilità ad app sconosciute e controllare ogni tanto il percorso Impostazioni > Accessibilità > App installate. Sono pochi passaggi, ma possono fare la differenza tra un telefono al sicuro e un conto svuotato un po’ alla volta.
