Manic richtet sich laut ThreatFabric in erster Linie gegen die Ukraine, wo Banken, staatliche Dienste und Messaging-Anwendungen betroffen sind. Daneben beobachteten die Forscher Angriffe auf russische und europäische Finanzinstitute, weltweit genutzte Krypto- und Fintech-Dienste sowie auf Messenger mit militärischem Bezug.
Verbreitet wird die Android-Schadsoftware über bösartige Websites und Dropper. Ist sie installiert, kann sie Tastatureingaben mitschneiden, Phishing-Oberflächen einblenden und das Telefon fernsteuern, um Bank- und Kryptobetrug durchzuführen. Hinzu kommen ausgeprägte Spionagefunktionen: Überwachung von Benachrichtigungen, Standortverfolgung, das Einsammeln von Dateien und die Fernüberwachung des Geräts.
Besonders hervor hebt ThreatFabric ein Offline-Mesh-Relay: „Eine besonders auffällige Fähigkeit ist das Offline-Mesh-Relay, das gesammelte Daten über nahegelegene infizierte Geräte per Wi-Fi Direct oder Bluetooth weiterleitet, wenn kein direkter Zugang zum C2-Server verfügbar ist."
Grandoreiro konzentriert sich weiterhin auf Nutzer in Lateinamerika, hat im vergangenen Jahr aber auch Europa ins Visier genommen und greift neben Europa zusätzlich Nordamerika an. In einer aktuell von Acronis beobachteten Kampagne entfiel der Großteil der Angriffe auf Mexiko.
Der aus Brasilien stammende Windows-Schädling existiert seit rund zehn Jahren und wird trotz Zerschlagungsversuchen der Strafverfolgungsbehörden kontinuierlich weiterentwickelt. Aktuelle Samples missbrauchen die legitime Anwendung Duplicate Files Finder (DFF), um über DLL-Sideloading Schadcode auszuführen – so verschmilzt die Aktivität mit dem normalen Softwarebetrieb und entgeht der Erkennung.
„Das ursprüngliche Sample enthält umfangreiche Anti-Analyse-Funktionen, darunter Sandbox-Erkennung, Prüfungen auf Artefakte virtueller Maschinen, Prozess-Blacklisting und Umgebungsprofilierung, um automatisierte Analysesysteme zu umgehen", erläutert Acronis. Diese Prüfungen erfolgten, bevor überhaupt Kontakt zur Command-and-Control-Infrastruktur aufgenommen werde – ein Hinweis darauf, dass die Betreiber der Analysevermeidung hohe Priorität einräumen.
Bei ToxicPanda fällt der Sprung im Funktionsumfang am deutlichsten aus. Die neue Version unterstützt 167 Fernsteuerungsbefehle und führt eine Zielliste von fast 350 Finanzanwendungen – gegenüber 16 in früheren Varianten. Angegriffen werden laut Zimperium Finanzinstitute in 16 Ländern, unter anderem Pakistan, Südafrika, Mexiko, Nigeria, Indien, Indonesien und Panama.
„Die Schadsoftware führt zudem einen automatisierten, klickbasierten Mechanismus ein, um das kabellose Debugging von Android (ADB) zu missbrauchen, was Rechteausweitung und Shell-Zugriff auf kompromittierten Geräten ermöglicht", so Zimperium. Auch der Vertriebsweg habe sich verändert: Die Samples von ToxicPanda 2.0 würden über bei Amazon AWS gehostete Buckets ausgeliefert – die Angreifer nutzten also Cloud-Infrastruktur zur Verteilung ihrer Schadsoftware.