ToxicPanda 2.0: Der Android-Banking-Trojaner, der es jetzt auf die Unternehmensidentität abgesehen hat

Ein Banking-Trojaner, der darauf ausgelegt war, Bankkonten in Lateinamerika und Europa zu leeren, hat sich zu einer weitaus ambitionierteren Bedrohung entwickelt. ToxicPanda 2.0, die neue von den Forschern von Zimperium zLabs (Autor Vishnu Pratapagiri) analysierte Variante, beschränkt sich nicht mehr darauf, Bankzugangsdaten abzufangen: Sie zielt darauf ab, die vollständige Kontrolle über das Android-Gerät zu übernehmen, dauerhaft zu persistieren und das Smartphone als Sprungbrett für den Zugriff auf Unternehmensressourcen zu nutzen. Die Zahlen der Untersuchung zeigen die Entwicklung: 167 neue Fernbefehle, ein Zielspektrum, das von 16 Finanzinstituten auf 349 Anwendungen aus den Bereichen Banking, E-Wallets und Kryptowährungen angewachsen ist, und eine Präsenz in 16 Ländern. Das erste Auftreten von ToxicPanda geht auf November 2024 zurück, als die Malware in Lateinamerika, Italien, Portugal und Spanien aktiv war. Heute ändert die Variante 2.0 ihre Größenordnung und ihre Ambitionen.

Von Lateinamerika zu Unternehmensgeräten: Was sich geändert hat

Im November 2024 war ToxicPanda ein klassischer Android-Banking-Trojaner: Er übernahm die Kontrolle über das infizierte Gerät, um betrügerische Transaktionen zu erleichtern, mit Fokus auf eine begrenzte Anzahl von Finanzinstituten. Die kürzlich entdeckte neue Version hat ihre Reichweite drastisch erweitert.

Der deutlichste Sprung betrifft die Zahl der Zielanwendungen: von 16 auf 349. Es handelt sich nicht mehr nur um Banking-Apps, sondern auch um E-Wallets und Kryptowährungs-Wallets. Das bedeutet, dass die Malware nicht nur das Bankkonto des Opfers sucht, sondern jede Art von digitalem Wert, der über das Telefon zugänglich ist – einschließlich Schlüssel für dezentrale Finanzmittel.

Ebenso relevant ist die geografische Expansion. Während die erste Version vier Länder betraf, wurde die Variante 2.0 in 16 Ländern beobachtet. Welche Länder konkret betroffen sind, wurde nicht bekannt gegeben, aber die Diversifizierung deutet auf eine breiter angelegte Kampagne hin, die wahrscheinlich durch schwer zu blockierende Cloud-Infrastrukturen erleichtert wird.

Die Forscher von Zimperium zLabs haben diese Entwicklung durch Analyse des Codes und der Command-and-Control-Server identifiziert. Die Hinzufügung von 167 Fernbefehlen ist ein klares Indiz: ToxicPanda ist kein einfaches Tool zum Stehlen von Passwörtern mehr, sondern eine modulare Plattform, die je nach Kontext neue Funktionen ausführen kann.

So stiehlt er die PIN: das Overlay des Sperrbildschirms

Eines der gefährlichsten neuen Verhaltensweisen ist die Nutzung eines Overlays für den Sperrbildschirm. Wenn das Opfer das Telefon entsperrt, legt die Malware einen gefälschten Sperrbildschirm darüber, der die eingegebene PIN oder das Muster aufzeichnet. Die gestohlenen Daten, die im Klartext gespeichert oder an den Server des Angreifers übertragen werden, ermöglichen es, die erste Schutzbarriere des Geräts zu überwinden.

Der Diebstahl der PIN ist jedoch kein Selbstzweck. ToxicPanda 2.0 verfügt außerdem über die notwendigen Berechtigungen, um das Gerätepasswort zurückzusetzen. In Kombination ermöglichen diese beiden Fähigkeiten dem Angreifer, den stärksten Identitätsanker zu erlangen, den es auf einem Smartphone gibt: die vollständige Kontrolle über das Betriebssystem, mit der Möglichkeit, sich als legitimer Besitzer zu authentifizieren.

Diese Kombination ist verheerend, weil das kompromittierte Telefon oft dasselbe Gerät ist, das Push-Anfragen zur Multi-Faktor-Authentifizierung bestätigt, Passkeys verwahrt und Arbeits-Apps hostet. Wenn die Malware als privilegierter Nutzer in das Gerät eindringen kann, werden alle verbundenen Konten zugänglich.

Die Hintertür: Wireless Debugging und ADB

Der technisch bedeutsamste Schritt betrifft den Missbrauch der Debugging-Funktionen von Android. Android 11 führte das Wireless Debugging ein, eine für Entwickler gedachte Funktion, mit der sich das Telefon ohne USB-Kabel mit einem Computer verbinden lässt. ToxicPanda 2.0 verwandelt diese Funktion in eine Backdoor.

Der Mechanismus funktioniert folgendermaßen: Über die Bedienungshilfen (Accessibility Services) aktiviert die Malware die Entwickleroptionen auf dem Gerät. Anschließend aktiviert sie das Wireless Debugging, extrahiert den temporären Pairing-Code, der zum Verbinden eines ADB-Clients (Android Debug Bridge) erforderlich ist, und schließt die Kopplung mit dem ADB-Dienst des Telefons ab. Ab diesem Zeitpunkt erhält der Angreifer Zugriff auf Shell-Ebene.

Von dort aus ist es ein Leichtes: Er kann direkte Befehle auf dem Gerät ausführen, sich zusätzliche Berechtigungen gewähren, die Einschränkungen des Betriebssystems lockern, Systemkomponenten aktivieren und Persistenz etablieren. Praktisch verwandelt die Malware das Telefon in einen ferngesteuerten Endpunkt mit Administratorrechten.

Dieser Angriff nutzt eine legitime und für Entwickler notwendige Funktion, die auf den meisten Unternehmensgeräten jedoch niemals aktiv sein sollte. Das Problem: Ihre Aktivierung erfolgt still und leise – sie erzeugt für den Durchschnittsnutzer keine sichtbaren Benachrichtigungen und wird von Verwaltungssystemen oft nicht überwacht.

Die Verbreitung läuft über AWS: legitime Cloud als Vektor

Ein Element, das die Erkennung erschwert, ist die Wahl der Verbreitungsinfrastruktur. ToxicPanda 2.0 wird über Buckets ausgeliefert, die auf Amazon Web Services gehostet werden. Es handelt sich nicht um Bulletproof-Server oder verdächtige Domains, sondern um legitime Cloud-Infrastruktur mit gültigen Zertifikaten und sauberer Reputation.

Diese Wahl macht es schwieriger, den Download der Malware über Blacklists oder reputationsbasierte Firewalls zu blockieren. AWS-Buckets können schnell erstellt, umbenannt und wiederverwendet werden, und der Datenverkehr zu ihnen ist nicht von dem zu legitimen Unternehmens-Cloud-Diensten zu unterscheiden.

Für ein Unternehmen bedeutet das, dass eine einfache Richtlinie zum Blockieren bösartiger Domains nicht ausreicht. Erforderlich ist eine tiefergehende Kontrolle, die den Inhalt heruntergeladener Dateien prüfen und anomales Verhalten auf dem Gerät erkennen kann – unabhängig von der Herkunft.

Die Auswirkungen auf die digitale Identität und Unternehmensressourcen

Der unmittelbare finanzielle Schaden bei den 349 Zielanwendungen ist nur die Spitze des Eisbergs. Die dauerhafte Kontrolle über das Gerät ermöglicht es dem Angreifer, die Authentifizierung zu manipulieren, Zugangsdaten zu stehlen, Anwendungen zu verändern und den Endpunkt als Sprungbrett zu weiteren Unternehmensressourcen zu nutzen.

Wenn das kompromittierte Telefon in den Identitätssystemen des Unternehmens registriert ist, können die Folgen schwerwiegend sein. Der Angreifer kann MFA-Push-Anfragen abfangen, auf dem Gerät gespeicherte Passkeys verwenden und auf geschäftliche E-Mails, freigegebene Dokumente und SaaS-Anwendungen zugreifen. Das Telefon wird zu einem Universalschlüssel.

Zimperium betont, dass herkömmliche signaturbasierte Sicherheitsebenen nicht mehr ausreichen. Die Variante 2.0 ist darauf ausgelegt, statischen Erkennungen zu entgehen und in der Tiefe zu agieren, indem sie Betriebssystemfunktionen nutzt, die selten überprüft werden.

Bradley Smith, SVP und Deputy CISO bei BeyondTrust, warnt vor allem vor der Kombination aus PIN-Diebstahl und Zurücksetzen des Gerätepassworts. „Der Angreifer erhält den Identitätsanker“, erklärt er, „und damit Zugriff auf alle Konten, die darauf aufbauen.“ Das Risiko ist zusammengefasst nicht das einzelne Bankkonto, sondern die gesamte digitale Identität des Opfers und seines Unternehmens.

Was Unternehmen tun können: Signale überwachen, die bereits existieren

Die von Zimperium vorgeschlagenen Maßnahmen zielen auf einen umfassenden, mehrschichtigen Schutz ab, der die Malware in mehreren Phasen der Angriffskette unterbrechen kann. Es gibt keinen einzelnen Patch und keine einzelne Konfiguration, die das Problem löst: Erforderlich ist eine Kombination aus technischen und organisatorischen Kontrollen.

Bradley Smith von BeyondTrust nennt drei konkrete Maßnahmen. Erstens: Sideloading auf Geräten blockieren, die in den Unternehmensidentitätssystemen registriert sind. ToxicPanda 2.0 wird nicht über offizielle Stores verbreitet; daher reduziert das Unterbinden der Installation von Apps aus unbekannten Quellen das anfängliche Risiko erheblich.

Zweitens: Die Gewährung von Bedienungshilfen (Accessibility Services) als privilegierte Zugriffsereignisse behandeln. Unter Android sind Bedienungshilfen ein mächtiges Werkzeug, mit dem eine App den Bildschirm und Interaktionen lesen und manipulieren kann. ToxicPanda nutzt sie, um Debugging zu aktivieren und Zugangsdaten zu stehlen. Jede Erteilung dieser Berechtigungen sollte protokolliert, überprüft und widerrufen werden, wenn sie nicht gerechtfertigt ist.

Drittens: Warnmeldungen generieren, wenn Entwickleroptionen oder Wireless Debugging auf verwalteten Mobilgeräten aktiviert werden. Diese Signale sind in den meisten MDM-Plattformen (Mobile Device Management) bereits sichtbar, werden aber selten überwacht. Ein rechtzeitiger Alarm kann den Angriff stoppen, bevor die Malware die ADB-Kopplung abschließt und Shell-Zugriff erhält.

Zusammenfassend lässt sich sagen: ToxicPanda 2.0 ist keine Bedrohung, die sich mit einem Update beheben lässt. Es ist ein Angriff, der legitime Systemfunktionen und vertrauenswürdige Cloud-Infrastrukturen ausnutzt. Unternehmen müssen Kontrollen aktivieren, die sie bereits besitzen, aber oft ignorieren, und mobile Geräte als ebenso kritische Endpunkte behandeln wie Server.