ToxicPanda 2.0 missbraucht VPN, um Google Play zu blockieren und Android-Smartphones zu kontrollieren

Die Malware weitet ihre Angriffsmöglichkeiten aus

ToxicPanda wurde auf Version 2.0 aktualisiert und kann nun deutlich mehr Ziele angreifen als frühere Varianten. Eine Analyse von Zimperium beschreibt eine Malware, die 349 Banking-, Finanz-, Krypto- und E-Wallet-Apps in 16 Ländern ins Visier nehmen kann.

Die zuletzt beobachtete Kampagne nutzt auf Amazon AWS gehostete Buckets, um die Schadkomponenten zu verteilen. Vollständige Informationen zur Infektionskette oder eine Liste der betroffenen Android-Versionen wurden nicht veröffentlicht. ToxicPanda missbraucht jedoch Funktionen des Betriebssystems und kompatibler Geräte, darunter das seit Android 11 verfügbare Wireless Debugging.

Die neue Version unterstützt 167 Remote-Befehle. Dadurch können die Angreifer das Verhalten der Infektion nach der Kompromittierung verändern, Ziele dynamisch aktualisieren und gerätespezifische Anweisungen erteilen.

Das Hauptziel besteht im Diebstahl von Authentifizierungsdaten und in der Kontrolle von Finanz-Apps. Die Malware kann Zugangsdaten, PINs, Passwörter und Entsperrmuster stehlen sowie Eingaben und Bildschirminteraktionen des Nutzers abfangen.

Die VPN-Berechtigung wird zum Schutzmechanismus des Angreifers

Einer der auffälligsten Aspekte von ToxicPanda 2.0 ist der Missbrauch der Berechtigung VPN Service. Die Malware erstellt eine lokale VPN-Schnittstelle und leitet den Smartphone-Datenverkehr darüber.

Die Funktion dient nicht unbedingt dazu, den gesamten Datenverkehr an einen Remote-Server weiterzuleiten. In diesem Fall wird sie vor allem genutzt, um die Kommunikation mit Google Play und Google Play Services zu filtern und zu blockieren.

Die Blockierung erfolgt vor dem Abruf und der Installation der Payload. Dadurch kann das Gerät die Kommunikation für App-Prüfungen, Updates, Play Protect und andere Sicherheitsfunktionen des Google-Ökosystems verlieren oder verzögert ausführen.

Dem Nutzer kann eine scheinbar legitime Aufforderung zur Aktivierung eines VPNs angezeigt werden. Erteilt er die Berechtigung, erhält ToxicPanda eine privilegierte Position im lokalen Datenverkehr und kann verhindern, dass Google-Prüfungen das Gerät ordnungsgemäß erreichen.

Anschließend fordert die Malware auch den Accessibility Service an. Dieser Dienst soll Menschen mit Behinderungen unterstützen, wird von Schadsoftware jedoch häufig missbraucht, da er das Auslesen von Benutzeroberflächenelementen, das Simulieren von Interaktionen und das Betätigen von Schaltflächen ermöglicht.

Unsichtbare Overlays und gefälschte Bildschirme zum Diebstahl von PINs und Passwörtern

ToxicPanda verfügt über separate Module zum Angriff auf Finanz-Apps. Eines davon zielt auf 140 Banking- und Krypto-Apps ab und führt eine dynamisch veränderbare Zielliste.

Die Malware kann Fenster über legitime Anwendungen legen. Diese Overlays sind möglicherweise nur schwer zu erkennen und können Touch-Eingaben abfangen, während das Opfer glaubt, die App seiner Bank, einer Kryptobörse oder eines E-Wallets zu verwenden.

Mit dieser Technik lassen sich Zugangsdaten, persönliche Codes und andere Informationen abfangen, die während der Anmeldung oder einer Transaktion eingegeben werden. Die ursprüngliche Anwendung kann dabei im Hintergrund sichtbar bleiben, wodurch der Austausch der Benutzeroberfläche weniger auffällt.

ToxicPanda kann außerdem den Android-Sperrbildschirm nachbilden. Das Opfer gibt PIN, Passwort oder Entsperrmuster dann in ein von der Malware kontrolliertes Fenster ein und glaubt, sich am Gerät zu authentifizieren.

Einige analysierte Samples zeigen zudem gefälschte Bildschirme für Systemupdates. Das Fake-Update kann ungewöhnliches Verhalten plausibel erscheinen lassen, die Reaktion des Nutzers verzögern und die Aktivitäten der Malware verschleiern, während weitere Berechtigungen erteilt werden.

Die Auswirkungen beschränken sich nicht auf den Diebstahl von Zugangsdaten. Die Kombination aus Overlays, Bedienungshilfen und Datenverkehrskontrolle kann es ermöglichen, die Abläufe zahlreicher Finanz-Apps zu manipulieren.

Der Missbrauch von Wireless Debugging stärkt die Persistenz

Die fortschrittlichste in ToxicPanda 2.0 beobachtete Funktion betrifft Android Debug Bridge, kurz ADB. Dabei handelt es sich um ein Werkzeug zur Ausführung von Shell-Befehlen auf dem Gerät. Wireless Debugging ermöglicht die Nutzung über ein WLAN ohne USB-Verbindung.

Mithilfe des Accessibility Service kann die Malware die Entwickleroptionen öffnen, Wireless Debugging aktivieren, den sechsstelligen ADB-Kopplungscode abrufen und den Kommunikationsport ermitteln. Anschließend kann sie eine Verbindung zum lokalen ADB-Dienst des Smartphones herstellen.

Nach Erlangung der Berechtigungen des Shell-Nutzers führt ToxicPanda Befehle über den ADB-Daemon aus. Dadurch kann die Malware bestimmte standardmäßige Zustimmungabfragen von Android umgehen, zusätzliche Berechtigungen erteilen und Komponenten aktivieren, ohne zwangsläufig die üblichen Warnungen anzuzeigen.

ADB kann außerdem genutzt werden, um die Wirksamkeit von Mechanismen zu verringern, die Hintergrundprozesse beenden. So festigt die Malware ihre Persistenz und erhöht die Wahrscheinlichkeit, nach einem Neustart oder während der alltäglichen Nutzung aktiv zu bleiben.

Der Remote-Befehl autoBoot ermittelt den Smartphone-Hersteller und öffnet die OEM-Einstellungen für den automatischen Start oder das Energiemanagement. Ziel ist es, Einschränkungen zu deaktivieren oder zu umgehen, die Hintergrundprozesse begrenzen.

Genannt werden Geräte von Xiaomi, OPPO, Vivo, Samsung und Huawei. Die Einstellungen können sich je nach Hersteller und Modell unterscheiden, das Prinzip bleibt jedoch gleich: Die Malware soll aktiv bleiben, ohne dass das System sie zur Reduzierung des Akkuverbrauchs beendet.

Der Missbrauch von Wireless ADB ist nicht auf ToxicPanda beschränkt. Group-IB hat in der aktuellen Version von RedHook einen ähnlichen Mechanismus beschrieben. Dies deutet darauf hin, dass sich diese Technik in Android-Kampagnen zunehmend verbreiten könnte.

So lässt sich ein möglicherweise betroffenes Gerät überprüfen

Zimperium hat auf GitHub eine Liste der mit der neuesten ToxicPanda-Version verbundenen Indicators of Compromise veröffentlicht. Der erste Schritt besteht daher darin, die IoCs mit den auf Unternehmens- oder Privatgeräten verfügbaren Ereignissen und Daten abzugleichen.

Nutzer sollten auf unerwartete Aufforderungen zur Aktivierung eines VPNs, zur Erteilung des Accessibility Service oder zum Einschalten der Entwickleroptionen achten. Auch ohne bewusste Entscheidung aktiviertes Wireless Debugging sollte überprüft werden.

Außerdem sollten ungewöhnliche Overlays, außerhalb des normalen Herstellerzyklus angezeigte Update-Bildschirme und wiederholte Abfragen von PINs oder Zugangsdaten kontrolliert werden. Auffälligkeiten bei Autostart-Einstellungen und im Energiemanagement verdienen ebenfalls Aufmerksamkeit.

Für ToxicPanda 2.0 wurden bislang keine spezifischen Gegenmaßnahmen oder offiziellen Verfahren zur Entfernung veröffentlicht. Bei einem Verdacht auf eine Kompromittierung sind die Überwachung der IoCs und die Erfassung der beschriebenen Anzeichen die unmittelbar durch die verfügbaren Informationen gestützten Maßnahmen.

Das operative Risiko ist für Nutzer von Banking-Apps, Krypto-Diensten und E-Wallets hoch. Ein CVSS-Score wurde nicht vergeben, da es sich nicht um die Beschreibung einer einzelnen Software-Schwachstelle handelt, sondern um eine Malware-Kampagne, die den Missbrauch von Berechtigungen, das Abfangen der Benutzeroberfläche und Persistenz über ADB kombiniert.