Nach Angaben von Zimperium zLabs ist ToxicPanda seit mindestens Juli 2022 in freier Wildbahn aktiv. Die neue Version erweitert die bisherigen Möglichkeiten deutlich. Sicherheitsforscher Vishnu Pratapagiri erklärte, dass Angreifer über den Missbrauch der Android-Bedienungshilfen sämtliche Oberflächenelemente auf dem Bildschirm auslesen können. Hinzu komme ein auf Überlagerungen basierender Diebstahl von Zugangsdaten, der 349 Finanzinstitute in 16 Ländern ins Visier nehme. Die vorherige Version habe lediglich 16 Banking-Apps angegriffen.
ToxicPanda 2.0 ergänzt zudem bislang nicht umgesetzte Befehle, späht Sperrbildschirm-Zugangsdaten über eine gefälschte Überlagerung aus und führt einen automatisierten, klickbasierten Mechanismus ein, um Android Wireless Debugging über die Android Debug Bridge zu missbrauchen. Das dient laut Zimperium der Rechteausweitung und dem Zugriff auf Shell-Ebene auf kompromittierten Geräten. Möglich werde das, indem die Malware per Bedienungshilfe die Entwickleroptionen aktiviert und das drahtlose Debugging einschaltet.
Für die Kommunikation mit der Kommandoinfrastruktur sendet ToxicPanda 2.0 zunächst eine HTTPS-Anfrage und richtet dann einen bidirektionalen WebSocket-Kanal für Befehle und Datenaustausch ein. Ähnlich wie bei der neu entdeckten Malware Manic kann ToxicPanda bildschirmfüllende „Systemaktualisierung“-Einblendungen anzeigen, um Aktivitäten im Hintergrund zu verbergen. Zusätzlich setzt die Schadsoftware eine unsichtbare transparente Überlagerung ein, um Berührungen abzufangen und PIN-Codes zu ernten.
Neu sind laut Zimperium auch Funktionen, mit denen Opfer zur Vergabe von Geräteadministrator-Rechten verleitet werden sollen. Außerdem kann die Malware die lokale Sperrbildschirm-PIN oder das Passwort des Geräts mit einem von den Angreifern festgelegten Wert überschreiben. Hinzu kommt eine Profilierung des infizierten Geräts, um den OEM-Hersteller zu bestimmen und anschließend per Bedienungshilfe passende Schritte einzuleiten, damit die Malware von Akku-Optimierungsrichtlinien ausgenommen wird und dauerhaft im Hintergrund laufen kann.
Auch bei der Verbreitung sehen die Forscher eine Veränderung. Zimperium zufolge werden Proben von ToxicPanda 2.0 über in Amazon AWS gehostete Buckets ausgeliefert. Das deute darauf hin, dass die Angreifer Cloud-Infrastruktur für die Verteilung der Malware nutzen.
Der dritte Android-Banking-Trojaner, den die Forscher beleuchten, ist GoldDigger. Group-IB hatte ihn erstmals im Oktober 2023 als Malware beschrieben, die Betrug direkt auf dem Gerät ausführen kann. Zugeschrieben wird GoldDigger dem chinesischsprachigen Akteur GoldFactory, der auch mit weiteren Banking-Malware-Familien gegen Android und iOS in Verbindung gebracht wird, darunter GoldPickaxe, GoldDiggerPlus und GoldKefu.
IBM Trusteer berichtet, GoldDigger nutze einen ausgefeilten Packer namens „dpt-shell“, um Code und Ressourcen zu verschleiern und Analysen zu erschweren. Dazu kommen mehrere Umgehungstechniken: Die native Logik wird verschlüsselt, die Malware erkennt, ob Frida an den Prozess angehängt ist, und bringt ihn in diesem Fall zum Absturz. Außerdem verhindert sie das Andocken externer Debugger, indem sie sich per PTRACE-Systemaufruf als bereits überwacht markiert.
Die aktuelle GoldDigger-Kampagne gibt sich laut IBM Trusteer vor allem als Fluggesellschaften und Einzelhändler aus und hat in Südafrika sowie im Vereinigten Königreich zu einer „massiven Infektion“ geführt. Wer solche Apps installiert, wird aufgefordert, Berechtigungen für Bedienungshilfen zu erteilen, die die Malware dann für betrügerische Aktionen missbraucht.
Sicherheitsforscher Shahar Tavor Lusky erklärte, GoldDigger könne Eingaben in Banking-Apps einschleusen, um Benutzerinteraktionen nachzuahmen, etwa Texteingaben, das Klicken auf Schaltflächen und Gesten. Auf diese Weise stoße die Malware betrügerische Transaktionen aus der Banking-App des Opfers an den Angreifer an. Darüber hinaus kann GoldDigger dem Betreiber Echtzeitzugriff auf den Bildschirm des Opfers geben, mit gefälschten Überlagerungen Anmeldedaten aus Banking-Apps abgreifen und eine gezielte App in einer virtuellen Umgebung starten, wodurch der Angreifer volle Sicht auf das Laufzeitverhalten sowie das Abfangen von Zugangsdaten und sensiblen Daten in Echtzeit erhält.
Für die Steuerung baut GoldDigger ebenfalls eine WebSocket-Verbindung auf. Darüber kann die Malware laut IBM Trusteer unter anderem Berechtigungen für Bedienungshilfen und Standort anfordern, Eingaben aus beliebigen Apps über die Bedienungshilfen erfassen, Kontakte und SMS sammeln, Audio und Video aufzeichnen und per RTMP an den C2-Server übertragen sowie bestimmte URLs und Apps wie den Google Play Store oder die Einstellungen öffnen.