ToxicPanda 2.0 exploite le VPN pour bloquer Google Play et contrôler les smartphones Android

Le malware élargit la portée de ses attaques

ToxicPanda a été mis à jour vers la version 2.0, avec une capacité de ciblage bien plus étendue que les variantes précédentes. L’analyse de Zimperium décrit un malware capable de cibler 349 applications bancaires, financières, de cryptomonnaie et de portefeuille électronique réparties dans 16 pays.

La campagne récemment observée utilise des buckets hébergés sur Amazon AWS pour distribuer les composants malveillants. Les informations complètes sur la chaîne d’infection n’ont pas été communiquées, pas plus que la liste des versions vulnérables d’Android. ToxicPanda exploite toutefois des fonctions présentes dans le système d’exploitation et les appareils compatibles, notamment le Wireless Debugging disponible depuis Android 11.

La nouvelle version prend en charge 167 commandes à distance. Cette fonctionnalité permet aux opérateurs de modifier le comportement de l’infection après la compromission, de mettre à jour dynamiquement les cibles et d’envoyer des instructions spécifiques à l’appareil.

L’objectif principal est le vol de données d’authentification et le contrôle des applications financières. Le malware peut dérober des identifiants, des codes PIN, des mots de passe et des schémas de déverrouillage, ainsi qu’intercepter ce que l’utilisateur saisit ou sélectionne à l’écran.

L’autorisation VPN devient un outil de défense pour l’attaquant

L’un des aspects les plus remarquables de ToxicPanda 2.0 réside dans l’abus de l’autorisation VPN Service. Le malware crée une interface VPN locale et y achemine le trafic du smartphone.

Cette fonction ne sert pas nécessairement à envoyer l’ensemble du trafic vers un serveur distant. Dans ce cas, elle est surtout utilisée pour filtrer et bloquer les communications destinées à Google Play et Google Play Services.

Le blocage est appliqué avant l’extraction et l’installation du payload. L’appareil peut ainsi perdre ou retarder les communications liées à la vérification des applications, aux mises à jour, à Play Protect et à d’autres fonctions de sécurité de l’écosystème Google.

L’utilisateur peut voir s’afficher une demande apparemment légitime d’activation d’un VPN. S’il accorde l’autorisation, ToxicPanda obtient une position privilégiée sur le chemin du trafic local et peut empêcher les contrôles de Google d’atteindre correctement l’appareil.

Après cette étape, le malware demande également l’accès à Accessibility Service. Ce service est conçu pour aider les personnes en situation de handicap, mais il est fréquemment détourné par les malwares, car il permet de lire les éléments de l’interface, de simuler des interactions et d’appuyer sur des boutons à la place de l’utilisateur.

Superpositions invisibles et faux écrans pour dérober les codes PIN et les mots de passe

ToxicPanda dispose de modules distincts pour cibler les applications financières. L’un d’eux vise 140 applications bancaires et de cryptomonnaie et conserve une liste de cibles modifiable dynamiquement.

Le malware peut afficher des fenêtres par-dessus les applications légitimes. Ces superpositions peuvent être difficiles à détecter et capturer les saisies tactiles tandis que la victime pense utiliser l’application de sa banque, une plateforme d’échange ou un portefeuille électronique.

Cette technique permet d’intercepter les identifiants, les codes personnels et d’autres informations saisies lors d’une connexion ou d’une transaction. L’application originale peut rester visible en arrière-plan, ce qui rend le remplacement de l’interface moins évident.

ToxicPanda peut également reproduire l’écran de verrouillage d’Android. La victime peut alors saisir son code PIN, son mot de passe ou son schéma de déverrouillage dans une fenêtre contrôlée par le malware, en pensant s’authentifier sur l’appareil.

Certains échantillons analysés affichent aussi de faux écrans de mise à jour du système. Cette fausse mise à jour peut servir à justifier des comportements inhabituels, à retarder la réaction de l’utilisateur et à masquer l’activité du malware pendant l’octroi de nouveaux privilèges.

L’impact ne se limite pas au vol d’identifiants. La combinaison des superpositions, des services d’accessibilité et du contrôle du trafic peut permettre de manipuler le déroulement des opérations dans de nombreuses applications financières.

L’abus du Wireless Debugging renforce la persistance

La fonctionnalité la plus avancée observée dans ToxicPanda 2.0 concerne Android Debug Bridge, ou ADB. Cet outil permet d’exécuter des commandes shell sur l’appareil ; le Wireless Debugging permet de l’utiliser via le réseau Wi-Fi, sans connexion USB.

En exploitant Accessibility Service, le malware peut ouvrir les Options pour les développeurs, activer le Wireless Debugging, récupérer le code d’association ADB à six chiffres et identifier le port de communication. Il peut ensuite se connecter au service ADB local du smartphone.

Une fois les autorisations de l’utilisateur shell obtenues, ToxicPanda exécute des commandes via le démon ADB. Il peut ainsi contourner certaines demandes de consentement standard d’Android, accorder des autorisations supplémentaires et activer des composants sans nécessairement afficher les avertissements habituels.

ADB peut également servir à réduire l’efficacité des mécanismes qui terminent les processus en arrière-plan. Le malware renforce ainsi sa persistance et augmente ses chances de rester actif après un redémarrage ou pendant l’utilisation quotidienne de l’appareil.

La commande distante autoBoot identifie le fabricant du smartphone et ouvre les paramètres OEM liés au démarrage automatique ou à la gestion de l’énergie. La procédure vise à désactiver ou à contourner les restrictions qui limitent les processus en arrière-plan.

Les appareils Xiaomi, OPPO, Vivo, Samsung et Huawei sont concernés. Les paramètres peuvent varier selon les fabricants et les modèles, mais le principe reste le même : maintenir le malware actif en évitant que le système ne le ferme pour limiter la consommation de la batterie.

L’abus du Wireless ADB n’est pas propre à ToxicPanda. Group-IB a décrit un mécanisme similaire dans la dernière version de RedHook, signalant une technique susceptible de devenir de plus en plus courante dans les campagnes visant Android.

Comment vérifier si un appareil est potentiellement touché

Zimperium a publié sur GitHub la liste des indicateurs de compromission associés à la version la plus récente de ToxicPanda. La première mesure consiste donc à comparer les IoC avec les événements et les données disponibles sur les appareils professionnels ou personnels.

Les utilisateurs doivent être attentifs aux demandes inattendues d’activation d’un VPN, d’autorisation d’Accessibility Service ou d’activation des Options pour les développeurs. L’activation du Wireless Debugging sans action consciente de l’utilisateur constitue également un signal à vérifier.

Il convient aussi de rechercher la présence de superpositions inhabituelles, d’écrans de mise à jour apparus en dehors du cycle normal du fabricant et de demandes répétées de codes PIN ou d’identifiants. Les anomalies liées au démarrage automatique et à la gestion de l’énergie méritent la même attention.

Aucune mesure corrective spécifique ni procédure officielle de suppression associée à ToxicPanda 2.0 n’a été indiquée. En cas de compromission présumée, la surveillance des IoC et la collecte des signaux décrits sont les actions directement étayées par les informations disponibles.

Le risque opérationnel est élevé pour les utilisateurs d’applications bancaires, de services de cryptomonnaie et de portefeuilles électroniques. Aucun score CVSS n’a été attribué, car il ne s’agit pas de la description d’une vulnérabilité logicielle unique, mais d’une campagne de malware combinant l’abus des autorisations, l’interception de l’interface et la persistance via ADB.