Die neue Generation von ToxicPanda kombiniert Netzwerkkontrolle mit hochprivilegiertem Systemzugriff. Nachdem sich die Malware die VPN-Dienstberechtigung erschlichen hat, legt sie eine lokale Schnittstelle an, durch die der Datenverkehr des Geräts läuft. Damit lassen sich gezielt die Verbindungen zu Google Play und Google Play Services unterbrechen — App-Verifizierungen, Aktualisierungen und die Kommunikation von Play Protect fallen aus.
Den zweiten Schwerpunkt bildet der automatisierte Missbrauch der Android Debug Bridge (ADB). ADB ist das Kommandozeilenwerkzeug zur Ausführung von Shell-Befehlen auf Android-Geräten; die mit Android 11 eingeführte kabellose Variante erlaubt diesen Zugriff über Wi-Fi ohne USB-Verbindung. Über die Berechtigung für die Bedienungshilfen schaltet ToxicPanda die Entwickleroptionen frei, aktiviert das kabellose Debugging, liest den sechsstelligen ADB-Kopplungscode samt Port aus und verbindet sich mit dem lokalen ADB-Dienst des Geräts.
„Sobald die Malware Shell-Benutzerrechte erlangt, führt sie hochprivilegierte Befehle direkt über den ADB-Daemon aus. Damit umgeht sie die üblichen Android-Zustimmungsdialoge zur Laufzeit, erteilt sich selbst weitreichende Berechtigungen, hebt Hintergrundbeschränkungen des Betriebssystems auf, aktiviert kritische Komponenten unbemerkt und sichert ihre Persistenz“, erklärt Zimperium.
Der Missbrauch des kabellosen ADB ist ein wachsender Trend in der Android-Malware-Szene: Group-IB berichtete kürzlich über einen vergleichbaren Mechanismus in der neuesten Version der Schadsoftware RedHook.
Zum Datendiebstahl setzt ToxicPanda auf Phishing-Overlays für 349 Banking-, Finanz-, Kryptowährungs- und E-Wallet-Anwendungen in 16 Ländern. Die Überlagerungen sind für das Opfer laut den Forschern unsichtbar, wodurch die Malware Berührungseingaben in den anvisierten Apps mitschneiden kann. Ergänzend gibt es ein separates Modul zum Abgreifen von PINs, das auf 140 Finanz- und Krypto-Apps zielt und seine Zielliste dynamisch aktualisieren kann.
Darüber hinaus täuscht ToxicPanda den Android-Sperrbildschirm vor, um Geräte-PINs, Entsperrmuster und Passwörter zu erfassen. In einigen analysierten Samples kamen zudem gefälschte Systemupdate-Bildschirme zum Einsatz, um laufende schädliche Aktivitäten zu verdecken.
Für die Dauerhaftigkeit auf dem Gerät sorgt unter anderem der Befehl „autoBoot“: Er ermittelt den Hersteller des Geräts und ruft die entsprechenden herstellerspezifischen Einstellungen für Autostart oder Energieverwaltung auf. Zimperium zufolge lassen sich damit die Akkuschutzmechanismen aushebeln, die Hintergrundprozesse auf Geräten von Xiaomi, OPPO, Vivo, Samsung und Huawei beenden.