Sicurezza
Un’app Android apparentemente innocua può trasformare lo smartphone in una postazione controllata a distanza, capace di eseguire comandi privilegiati, registrare ciò che appare sullo schermo e installare altri pacchetti senza mostrare le normali finestre di conferma. È il salto tecnico compiuto da RedHook, un trojan di accesso remoto che combina ingegneria sociale, servizi di accessibilità e debug wireless per superare buona parte delle limitazioni imposte alle applicazioni comuni.
I primi campioni pubblicamente documentati risalgono al luglio 2025 e presentavano già le caratteristiche tipiche dei trojan bancari Android: controllo dell’interfaccia, furto delle credenziali, acquisizione dei messaggi e sovrapposizione di finestre contraffatte. La variante analizzata da Group-IB a luglio 2026 introduce però un meccanismo più insidioso: sfrutta una funzione legittima disponibile da Android 11 per ottenere i privilegi della shell di sistema, identificata dal sistema operativo con UID 2000.
Non si tratta di accesso root e non emerge lo sfruttamento di una vulnerabilità non corretta nel kernel o nei componenti Android. Il punto è che RedHook induce la vittima ad autorizzare una sequenza di operazioni lecite, poi usa tali autorizzazioni in modo ostile. L’attacco dipende quindi da un errore umano iniziale, ma una volta completata la procedura concede ai criminali un livello di controllo ben superiore a quello normalmente associato a un’app installata tramite file APK.
