RedHook, il malware Android si evolve e diventa più pericoloso

RedHook, un trojan bancario per dispositivi Android individuato per la prima volta nel luglio del 2025 dalla società Cyble, è tornato a colpire con una veste rinnovata e decisamente più insidiosa.

Un recente rapporto pubblicato il 9 luglio 2026 da Group-IB rivela che il codice maligno è ora in grado di abusare dello strumento di debug wireless (ADB) per ottenere un accesso profondo al sistema.

Questa evoluzione permette agli aggressori di svuotare i conti bancari delle vittime operando in modo del tutto silenzioso.

RedHook, il trojan Android che ti svuota il conto in banca si evolve

Nonostante le nuove capacità, la strategia di ingresso di RedHook rimane radicata nella manipolazione psicologica. I criminali informatici si fingono impiegati bancari o funzionari governativi, contattando le potenziali vittime tramite chiamate o messaggi. L’intento è convincere l’utente a scaricare e installare un file APK da siti web fraudolenti, disegnati per imitare in modo convincente il Google Play Store.

Una volta installata, l’applicazione malevola richiede l’attivazione dei permessi di Accessibilità. Ottenuto questo consenso fondamentale, il malware agisce in totale autonomia: naviga tra le opzioni sviluppatore del dispositivo, attiva il debug wireless e si associa come se fosse un computer autorizzato.

Questa procedura garantisce al trojan un controllo pressoché totale sul dispositivo, un privilegio normalmente inaccessibile alle applicazioni standard, senza dover ricorrere ad alcun exploit tecnico complesso ma semplicemente piegando ai propri scopi un’interfaccia nativa.

Resistenza e sopravvivenza del codice

I ricercatori di Group-IB hanno evidenziato come questa nuova iterazione sia particolarmente tenace e difficile da eradicare. Il trojan impiega diverse tattiche per mantenere la propria esecuzione in background: riproduce tracce audio silenziose, impedisce al processore di entrare in stato di sospensione e utilizza due servizi gemelli programmati per riavviarsi a vicenda qualora l’utente o il sistema operativo tentino di interroperne uno.

L’approccio di sfruttare i permessi di Accessibilità per compiere azioni attive, anziché limitarsi a osservare lo schermo e registrare i tasti premuti, accomuna questa minaccia ad altre famiglie di malware recenti come Vultur e Brokewell.

Risulta doveroso specificare che i dispositivi Apple risultano immuni a questa specifica tecnica, poiché il sistema operativo iOS non espone strumenti paragonabili all’ADB wireless ad applicazioni scaricate.

Difesa e prevenzione

La barriera primaria contro questa tipologia di attacchi rimane la prudenza dell’utente e l’utilizzo dei canali ufficiali. Poiché il malware necessita di un’installazione manuale, scaricare software esclusivamente dallo store ufficiale di Google e mantenere attivo il sistema di controllo Play Protect neutralizza il rischio in partenza.

Risulta vitale diffidare di comunicazioni urgenti non sollecitate, verificare l’identità di chi chiama e rifiutare categoricamente la concessione dei permessi di Accessibilità ad applicazioni che non ne hanno una necessità palese, oltre a controllare saltuariamente che il debug wireless non sia stato attivato a propria insaputa.

Nel frattempo, Google sta sviluppando contromisure specifiche. L’azienda di Mountain View lavora a un aggiornamento della sua modalità di protezione avanzata che, quando sarà implementata del tutto, dovrebbe bloccare l’accesso alle opzioni sviluppatore per gli utenti che la attivano, chiudendo questa pericolosa porta di servizio prima che i criminali trovino nuovi modi per sfruttarla.

Questo articolo RedHook, il malware Android si evolve e diventa più pericoloso è stato pubblicato in origine su GizChina.it.