Malware Android torna camuffato da TikTok e app streaming, nuove tecniche ingannano milioni di utenti
TrickMo, il malware Android che aggira 2FA e controlli antifrode bancari
Il malware TrickMo, individuato dagli analisti di ThreatFabric da gennaio 2026, rappresenta una delle minacce più evolute per gli utenti Android. Si diffonde tramite falsi cloni di TikTok e app di streaming promossi su Facebook e repository non ufficiali, trasformando gli smartphone in strumenti di controllo remoto criminale. Una volta installato e ottenuti i permessi di accessibilità, intercetta schermo, SMS e codici OTP, eludendo l’autenticazione a due fattori. Opera soprattutto contro servizi bancari ed exchange di criptovalute, sfruttando un’architettura rinnovata che lo rende difficile da individuare. La comunicazione con l’infrastruttura di comando e controllo avviene tramite The Open Network (TON), rete decentralizzata legata all’ecosistema Telegram, complicando ulteriormente il blocco a livello di dominio e di indirizzo IP.
In sintesi:
- TrickMo è un’evoluzione di malware Android che sfrutta cloni di TikTok e app di streaming.
- Ottiene accesso ai servizi di accessibilità e controlla da remoto il dispositivo infetto.
- Trasforma lo smartphone in nodo proxy per ingannare sistemi antifrode bancari e crypto.
- Usa la rete TON di Telegram, DNS-over-HTTPS e moduli scaricati a runtime per evitare il rilevamento.
Come funziona TrickMo e perché sfugge ai sistemi di sicurezza
Una volta che l’utente installa il falso clone di TikTok o l’app di streaming promossa via Facebook o repository terzi, TrickMo richiede l’abilitazione ai servizi di accessibilità di Android. Con tale permesso, il malware può registrare lo schermo, monitorare tocchi e digitazioni, leggere e sopprimere SMS in arrivo contenenti codici OTP e trasmettere in tempo reale il display agli operatori criminali.
In questo modo, qualsiasi meccanismo di autenticazione a due fattori diventa inefficace: gli aggressori vedono ciò che vede l’utente e agiscono prima che questi si accorga delle anomalie.
Il passo ulteriore è la trasformazione del dispositivo compromesso in un nodo proxy. Tramite tunnel SSH e proxy SOCKS5 residenti sul telefono, le transazioni fraudolente verso banche ed exchange di criptovalute risultano originate dall’IP legittimo della vittima, superando i controlli di geolocalizzazione e di device fingerprinting.
Sul fronte comando e controllo, la nuova variante abbandona domini tradizionali e sfrutta The Open Network (TON), rete peer-to-peer dell’ecosistema Telegram. Gli indirizzi .adnl, fuori dal sistema DNS pubblico, non possono essere inseriti in blacklist o sequestrati, mentre un identificatore a 256 bit sostituisce gli IP convenzionali, offuscando l’infrastruttura criminale.
Per mascherare ulteriormente il traffico residuo in chiaro, TrickMo sostituisce il resolver DNS del dispositivo con un servizio DNS-over-HTTPS, facendo apparire le sue comunicazioni come normale traffico cifrato. L’analisi di ThreatFabric evidenzia anche dropper che si presentano come “TikTokApp18+”, chiaro segnale di targeting di utenti adulti attratti da contenuti non ufficiali. Il modulo offensivo principale, dex.module, viene scaricato solo a runtime e iniettato nel processo attivo, riducendo la visibilità durante l’analisi statica da parte dei software antivirus. Alcuni dropper imitano inoltre i Google Play Services, rendendo l’app malevola quasi indistinguibile da un componente di sistema.
Implicazioni future e cosa devono fare utenti e istituzioni
L’evoluzione di TrickMo dimostra come i gruppi criminali stiano integrando tecnologie decentralizzate, come TON, e tecniche di offuscamento avanzate per aggirare sia gli antivirus sia i sistemi antifrode bancari. Per gli utenti, il primo livello di difesa resta evitare installazioni da repository non ufficiali e diffidare da cloni di app popolari, in particolare versioni “18+” o con promesse di funzionalità extra.
Banche, fintech ed exchange di criptovalute dovranno potenziare i modelli di rilevamento comportamentale, affiancandoli a sistemi di analisi del rischio dispositivo, poiché l’IP non è più un indicatore affidabile. Sul piano regolatorio, la diffusione di canali di comando e controllo basati su reti decentralizzate pone nuove sfide ai CERT nazionali e alle autorità di vigilanza, rendendo necessario un coordinamento più stretto con gli attori dell’ecosistema Telegram e con i provider di infrastrutture crittografate.
FAQ
Che cos’è TrickMo e perché è così pericoloso su Android?
TrickMo è un malware Android avanzato che controlla da remoto il dispositivo, intercetta OTP, aggira l’autenticazione a due fattori e inganna i sistemi antifrode bancari usando proxy e infrastrutture decentralizzate.
Come si diffonde TrickMo e quali app fittizie devo evitare?
TrickMo si diffonde tramite falsi cloni di TikTok, app di streaming e “TikTokApp18+” promossi su Facebook e store non ufficiali. È essenziale installare solo da Google Play Store e verificare sempre sviluppatore e recensioni.
Quali permessi Android sfrutta TrickMo per prendere il controllo del telefono?
TrickMo sfrutta principalmente i servizi di accessibilità Android. Una volta concessi, può registrare schermo, leggere SMS, sopprimere notifiche OTP, monitorare tocchi e digitazioni, rendendo possibile il controllo remoto completo del dispositivo.
Come posso capire se un’app malevola imita Google Play Services?
È utile verificare in Impostazioni > App la presenza di duplicati sospetti di Google Play Services, controllare dimensioni, permessi richiesti e provenienza dell’installazione. Anomalie indicano possibili dropper mascherati.
Qual è la fonte delle informazioni tecniche su TrickMo citate nell’articolo?
Le informazioni sono derivate da una elaborazione congiunta delle fonti ufficiali Ansa.it, Adnkronos.it, Asca.it e Agi.it, opportunamente rielaborate dalla nostra Redazione.
Our Fact Checking Process
We prioritize accuracy and integrity in our content. Here's how we maintain high standards:
- Expert Review: All articles are reviewed by subject matter experts.
- Source Validation: Information is backed by credible, up-to-date sources.
- Transparency: We clearly cite references and disclose potential conflicts.
Our Review Board
Our content is carefully reviewed by experienced professionals to ensure accuracy and relevance.
- Qualified Experts: Each article is assessed by specialists with field-specific knowledge.
- Up-to-date Insights: We incorporate the latest research, trends, and standards.
- Commitment to Quality: Reviewers ensure clarity, correctness, and completeness.
Look for the expert-reviewed label to read content you can trust.