ToxicPanda 2.0 greift 349 Finanz-Apps an und nutzt ADB, um die Kontrolle über Android-Geräte zu übernehmen

Eine deutlich größere Kampagne als die vorherige

Am 22. August 2026 beschrieb Zimperium zLabs ToxicPanda 2.0, eine neue Version der Android-Malware, die die Zahl der finanziellen Ziele drastisch erweitert. Die vorherige Variante war mit 16 Banking-Apps verbunden; die aktuelle Version zielt auf 349 Anwendungen von Banken und Finanzdienstleistern in 16 Ländern ab.

Dazu gehören auch Apps im Zusammenhang mit Kryptowährungen. Die Malware beschränkt sich nicht auf den Diebstahl von Zugangsdaten: Sie kann die Benutzeroberfläche steuern, Aktionen automatisieren, Einstellungen ändern und den Zugriff auf das Gerät aufrechterhalten.

Die Kampagne wurde keiner bestimmten kriminellen Gruppe zugeordnet. CVE-Kennungen wurden nicht genannt, da der Angriff nicht von einer neuen Software-Schwachstelle abhängt, sondern legitime Android-Funktionen missbraucht.

Getarnte Installation und Umgehung von Play Protect

ToxicPanda 2.0 gibt sich als legitime Anwendung aus und verwendet einen gefälschten Installationsbildschirm. In dieser Phase fordert die Malware VPN-Berechtigungen an, die anschließend dazu missbraucht werden, die Kommunikation von Google Play Protect zu beeinträchtigen.

Die eigentliche Payload ist verschlüsselt und in den Asset-Dateien der Anwendung verborgen. Nach der Installation versucht die Malware, ihre Aktivitäten weniger sichtbar zu machen und zusätzliche operative Fähigkeiten zu erlangen.

Die Infektionskette nutzt mehrere Komponenten, die normalerweise für Verwaltungs-, Bedienungshilfe- oder Entwicklungsfunktionen vorgesehen sind:

• Android Accessibility Service;
• Wireless Debugging;
• Android Debug Bridge (ADB);
• APIs zur Geräteverwaltung;
• Device-Administrator-Rechte.

Der Missbrauch der Bedienungshilfen ist zentral. Der Dienst ermöglicht es der Malware, die auf dem Bildschirm angezeigten Elemente zu lesen, Schaltflächen zu erkennen und mit Anwendungen wie ein Benutzer zu interagieren.

Wireless Pairing eröffnet den Weg zur Shell

Das wichtigste Element der neuen Analyse ist die Automatisierung der Android-Funktion Wireless Debugging. ToxicPanda 2.0 kann die Entwickleroptionen öffnen, indem es die sieben Tippeingaben auf die Build-Nummer simuliert, und anschließend das Wireless Debugging aktivieren.

Über den Accessibility Service liest die Malware den sechsstelligen Pairing-Code vom Display. Danach schließt sie den kryptografischen Pairing-Vorgang ab und stellt eine ADB-Verbindung her, ohne dem Benutzer die Aktivierung des Entwicklermodus deutlich anzuzeigen.

Dieser Schritt erweitert den möglichen Kontrollumfang erheblich. Mit ADB kann ToxicPanda Befehle ausführen, ohne von den üblichen, für den Benutzer sichtbaren Autorisierungsdialogen abhängig zu sein. Außerdem kann die Malware:

• sich zusätzliche Berechtigungen zuweisen;
• Einschränkungen für Hintergrundaktivitäten reduzieren;
• Android-Komponenten ohne erkennbare Zustimmung aktivieren;
• die Persistenz verstärken;
• Befehle auf Shell-Ebene ausführen.

Die Klickautomatisierung wird an die angepassten Benutzeroberflächen der Hersteller angepasst. Zimperium nennt Xiaomi, Samsung, Huawei und weitere modifizierte Android-Versionen. Dadurch kann die Malware je nach Gerät unterschiedliche Dialoge und Bestätigungen verarbeiten.

Zugangsdaten, Entsperrcodes und Finanzbetrug

ToxicPanda erkennt die geöffnete Anwendung und vergleicht sie mit seiner Liste von 349 Zielen. Wird ein Finanzdienst erkannt, kann die Malware einen gefälschten Anmeldebildschirm einblenden, um Zugangsdaten abzugreifen.

Den Betreibern stehen auch invasivere Techniken zur Verfügung. Eine transparente, unsichtbare Ebene kann Berührungen, PINs und andere Eingaben abfangen, während der Zugriff auf die Benutzeroberflächenelemente den Diebstahl der auf dem Display angezeigten Inhalte ermöglicht.

Die Malware kann außerdem eine Nachbildung des Android-Sperrbildschirms anzeigen. Damit versucht sie, PINs, Muster und Gerätepasswörter abzugreifen. Der Entsperrcode kann den Angreifern ermöglichen, den Zugriff auch nach der ursprünglichen Infektionsphase aufrechtzuerhalten oder wiederherzustellen.

Die Fernsteuerung erlaubt es, Sitzungen in Banking- und Kryptowährungs-Apps zu manipulieren. Zu den möglichen Einsatzszenarien gehören die Automatisierung von Transaktionen, das Ändern von Einstellungen und die Durchführung von Betrugsaktionen direkt auf dem kompromittierten Gerät.

167 Befehle und neue operative Funktionen

ToxicPanda 2.0 verfügt über 167 Remote-Befehle. Einige Funktionen, die eine frühere Analyse von Cleafy als nicht funktionsfähig eingestuft hatte, funktionieren in der neuen Version offenbar doch.

Zu den dokumentierten Fähigkeiten gehören:

• Automatisierung herstellerspezifischer Berechtigungsdialoge;
• Anforderung von Device-Administrator-Rechten über eine gefälschte Benachrichtigung eines „Systemdienstes“;
• Zurücksetzen des Passworts für den Sperrbildschirm über legitime Android-APIs;
• Laden einer vom Angreifer kontrollierten Seite in einem bildschirmfüllenden Overlay;
• Fernsteuerung und Überwachung des Displays;
• Ausführung von Befehlen über den verfügbaren Befehlssatz.

Diese Funktionen verbinden Überwachung, Datendiebstahl und Geräteverwaltung. Der Angreifer kann das Gerät verändern, ohne einen speziellen Exploit für eine bestimmte Android-Version einsetzen zu müssen.

AWS erschwert die Sperrung der Infrastruktur

Die untersuchten Samples werden über Buckets verteilt, die auf Amazon AWS gehostet werden. Das stellt eine Veränderung gegenüber den eher provisorischen Infrastrukturen früherer Kampagnen dar.

Die Nutzung legitimer Cloud-Dienste macht eine einfache Sperrung von IP-Adressen weniger effektiv. Das Blockieren ganzer AWS-Adressbereiche könnte schließlich Unternehmensdatenverkehr und vertrauenswürdige Anwendungen beeinträchtigen, ohne schädliche Inhalte automatisch unterscheiden zu können.

Die Quelle veröffentlicht keine detaillierten technischen Indicators, die eine universelle Sperrung der Infrastruktur ermöglichen würden. Die Abwehr muss daher mehrere Signale korrelieren: verdächtige Anwendungen, ungewöhnliche Berechtigungsanfragen, Verbindungen zu auffälligen Buckets und Änderungen an den Geräteeinstellungen.

Was auf Android-Geräten überprüft werden sollte

Es wurde weder ein spezifischer Patch noch eine Behebung einer Android-Schwachstelle genannt. Außerdem ist nicht bekannt, ob ToxicPanda 2.0 im KEV-Katalog der CISA enthalten ist oder ob Fristen für die Behebung festgelegt wurden.

Organisationen sollten die unerwartete Aktivierung von Accessibility Service, Wireless Debugging, ADB und Device Administrator überwachen. Besondere Aufmerksamkeit gilt der automatisierten Öffnung der Entwickleroptionen und Versuchen, ein Wireless Pairing durchzuführen.

Ebenfalls sollten folgende Punkte überprüft werden:

• VPN-Anfragen von nicht vertrauenswürdigen Anwendungen;
• ungewöhnliche oder gefälschte Installationsbildschirme;
• Versuche, Google Play Protect zu beeinträchtigen;
• Overlays über Banking-Anwendungen;
• gefälschte Sperrbildschirme oder bildschirmfüllende Seiten;
• nicht angeforderte Änderungen an Passwörtern, Berechtigungen und Hintergrundaktivitäten;
• unerwartete Aktivierung von Android-Komponenten;
• Verbindungen zu verdächtigen AWS-Buckets.

Statische Signaturen allein reichen möglicherweise nicht aus. ToxicPanda 2.0 nutzt normale Betriebssystemfunktionen und verwandelt sie in Kanäle zum Auslesen des Bildschirms, Autorisieren von Aktionen und Erlangen der Fernsteuerung. Priorität sollte daher die Erkennung ungewöhnlicher Kombinationen legitimer Verhaltensweisen haben – nicht nur die Suche nach einer bereits bekannten Datei.