ToxicPanda 2.0 aprovecha la VPN para bloquear Google Play y controlar smartphones Android

El malware amplía el alcance del ataque

ToxicPanda se ha actualizado a la versión 2.0, con una capacidad de ataque mucho mayor que la de sus variantes anteriores. El análisis de Zimperium describe un malware capaz de afectar a 349 aplicaciones bancarias, financieras, de criptomonedas y monederos electrónicos distribuidas en 16 países.

La campaña observada recientemente utiliza buckets alojados en Amazon AWS para distribuir los componentes maliciosos. No se han divulgado todos los detalles de la cadena de infección ni una lista de las versiones vulnerables de Android. Sin embargo, ToxicPanda aprovecha funciones presentes en el sistema operativo y en dispositivos compatibles, incluido Wireless Debugging, disponible desde Android 11.

La nueva versión admite 167 comandos remotos. Esta capacidad permite a los operadores modificar el comportamiento de la infección tras la intrusión, actualizar dinámicamente los objetivos y enviar instrucciones específicas al dispositivo.

El objetivo principal es robar datos de autenticación y controlar aplicaciones financieras. El malware puede sustraer credenciales, PIN, contraseñas y patrones de desbloqueo, además de interceptar lo que el usuario escribe o selecciona en la pantalla.

El permiso VPN se convierte en una herramienta defensiva para el atacante

Uno de los aspectos más relevantes de ToxicPanda 2.0 es el abuso del permiso VPN Service. El malware crea una interfaz VPN local y enruta a través de ella el tráfico del smartphone.

La función no se utiliza necesariamente para enviar todo el tráfico a un servidor remoto. En este caso, sirve principalmente para filtrar y bloquear las comunicaciones dirigidas a Google Play y Google Play Services.

El bloqueo se aplica antes de extraer e instalar el payload. De este modo, el dispositivo puede perder o retrasar las comunicaciones relacionadas con la verificación de aplicaciones, las actualizaciones, Play Protect y otras funciones de seguridad del ecosistema de Google.

El usuario puede recibir una solicitud aparentemente legítima para activar una VPN. Si concede el permiso, ToxicPanda obtiene una posición privilegiada en la ruta del tráfico local y puede impedir que los controles de Google lleguen correctamente al dispositivo.

Después de esta fase, el malware también solicita Accessibility Service. Este servicio está diseñado para ayudar a personas con discapacidad, pero los programas maliciosos suelen abusar de él porque permite leer elementos de la interfaz, simular interacciones y pulsar botones en lugar del usuario.

Overlays invisibles y pantallas falsas para robar PIN y contraseñas

ToxicPanda cuenta con módulos específicos para atacar aplicaciones financieras. Uno de ellos tiene como objetivo 140 aplicaciones bancarias y de criptomonedas, y mantiene una lista de objetivos que puede modificarse dinámicamente.

El malware puede superponer ventanas sobre aplicaciones legítimas. Los overlays pueden ser difíciles de detectar y capturar las entradas táctiles mientras la víctima cree que está utilizando su banco, un exchange o un monedero electrónico.

Esta técnica permite interceptar credenciales, códigos personales y otros datos introducidos durante el inicio de sesión o una transacción. La aplicación original puede permanecer visible en segundo plano, lo que hace menos evidente la sustitución de la interfaz.

ToxicPanda también puede reproducir la pantalla de bloqueo de Android. La víctima puede introducir su PIN, contraseña o patrón de desbloqueo en una ventana controlada por el malware, creyendo que se está autenticando en el dispositivo.

Algunas muestras analizadas también muestran pantallas falsas de actualización del sistema. La actualización fraudulenta puede servir para justificar comportamientos anómalos, retrasar la reacción del usuario y ocultar la actividad del malware mientras se conceden nuevos privilegios.

El impacto no se limita al robo de credenciales. La combinación de overlays, accesibilidad y control del tráfico puede permitir manipular el flujo operativo de numerosas aplicaciones financieras.

El abuso de Wireless Debugging refuerza la persistencia

La función más avanzada observada en ToxicPanda 2.0 está relacionada con Android Debug Bridge o ADB. Se trata de la herramienta que permite ejecutar comandos shell en el dispositivo; Wireless Debugging permite utilizarla a través de la red Wi-Fi sin conexión USB.

Mediante Accessibility Service, el malware puede abrir las Opciones de desarrollador, activar Wireless Debugging, recuperar el código de emparejamiento ADB de seis dígitos y localizar el puerto de comunicación. A continuación, puede conectarse al servicio ADB local del smartphone.

Una vez obtenidos los permisos del usuario shell, ToxicPanda ejecuta comandos mediante el demonio ADB. Esto le permite eludir algunas solicitudes estándar de consentimiento de Android, conceder permisos adicionales y activar componentes sin mostrar necesariamente las alertas habituales.

ADB también puede utilizarse para reducir la eficacia de los mecanismos que finalizan procesos en segundo plano. Así, el malware consolida su persistencia y aumenta las probabilidades de permanecer activo tras un reinicio o durante el uso cotidiano del dispositivo.

El comando remoto autoBoot identifica el fabricante del smartphone y abre los ajustes OEM relacionados con el inicio automático o la gestión energética. El procedimiento intenta desactivar o eludir las restricciones que limitan los procesos en segundo plano.

Se mencionan dispositivos Xiaomi, OPPO, Vivo, Samsung y Huawei. Los ajustes pueden variar según el fabricante y el modelo, pero el principio es el mismo: mantener activo el malware e impedir que el sistema lo cierre para reducir el consumo de batería.

El abuso de Wireless ADB no es exclusivo de ToxicPanda. Group-IB ha descrito un mecanismo similar en la última versión de RedHook, lo que apunta a una técnica que podría volverse cada vez más común en las campañas contra Android.

Cómo comprobar si un dispositivo está potencialmente afectado

Zimperium ha publicado en GitHub la lista de indicadores de compromiso asociados a la versión más reciente de ToxicPanda. Por tanto, la primera medida consiste en comparar los IoC con los eventos y datos disponibles en los dispositivos corporativos o personales.

Los usuarios deben prestar atención a solicitudes inesperadas para activar una VPN, conceder Accessibility Service o habilitar las Opciones de desarrollador. También debe investigarse la activación de Wireless Debugging sin una decisión consciente del usuario.

Asimismo, conviene comprobar la presencia de overlays inusuales, pantallas de actualización que aparezcan fuera del ciclo normal del fabricante y solicitudes repetidas de PIN o credenciales. Las anomalías en los ajustes de inicio automático y en la gestión energética requieren la misma atención.

No se han indicado medidas correctivas específicas ni un procedimiento oficial de eliminación asociado a ToxicPanda 2.0. Ante una posible intrusión, la supervisión de los IoC y la recopilación de las señales descritas son las acciones respaldadas directamente por la información disponible.

El riesgo operativo es elevado para quienes utilizan aplicaciones bancarias, servicios de criptomonedas y monederos electrónicos. No se ha asignado una puntuación CVSS, ya que no se trata de una única vulnerabilidad de software, sino de una campaña de malware que combina el abuso de permisos, la interceptación de la interfaz y la persistencia mediante ADB.