Zimperium zLabs hat eine neue Ausbaustufe des Android-Banking-Trojaners ToxicPanda untersucht. Die als ToxicPanda 2.0 bezeichnete Variante erweitert ihren Vorgänger um 167 Fernbefehle und greift statt 16 Finanzinstituten nun 349 Banking-, E-Wallet- und Kryptowährungsanwendungen an. Forscher Vishnu Pratapagiri spricht in dem Bericht von „einer erheblichen Ausweitung von Zielspektrum und Fähigkeiten".
Aufgetaucht war ToxicPanda erstmals im November 2024. Damals übernahm die Schadsoftware Android-Geräte und ermöglichte betrügerische Mobile-Banking-Transaktionen in Lateinamerika, Italien, Portugal und Spanien. Mittlerweile ist die Aktivität auf 16 Länder ausgeweitet.
Verändert hat sich auch die Verbreitung: Zimperium beobachtete Samples, die über bei Amazon Web Services gehostete Buckets ausgeliefert wurden. Die Betreiber nutzen demnach legitime Cloud-Infrastruktur zur Verteilung der Schadsoftware.
Technisch am bemerkenswertesten ist der Missbrauch der mit Android 11 eingeführten Funktion Wireless Debugging, die eigentlich Entwicklern den ADB-Zugriff ohne USB-Kabel erlaubt. ToxicPanda automatisiert diesen Ablauf über die Android-Bedienungshilfen: Die Malware aktiviert die Entwickleroptionen, schaltet Wireless Debugging ein, liest den temporären ADB-Kopplungscode aus und schließt die Kopplung mit dem ADB-Dienst des Geräts ab.
Damit erhält der Trojaner Zugriff auf Shell-Ebene und kann Befehle direkt auf dem Gerät ausführen. Angreifer können sich so weitere Berechtigungen erteilen, Beschränkungen des Betriebssystems aufweichen, Komponenten aktivieren und sich dauerhaft einnisten. Die Schadsoftware nutzt also legitime Administrationsfunktionen von Android, um von Anwendungsrechten zu tiefergehender Kontrolle über das Gerät zu gelangen.
Neu ist zudem ein Overlay über den Sperrbildschirm, das eingegebene Zugangsdaten abgreift. Damit reicht die Wirkung über Bankbetrug hinaus: Die Angreifer erhalten Anmeldedaten, mit denen sich das Gerät entsperren und möglicherweise auf weitere Dienste zugreifen lässt.
Genau darin liegt laut Bradley Smith, Senior Vice President und stellvertretender CISO bei BeyondTrust, das Unternehmensrisiko: „Das Gerät, das dieser Trojaner übernimmt, ist dasselbe Gerät, das Push-MFA-Anfragen bestätigt, Passkeys speichert und die Banking- und Wallet-Apps für den Mitarbeiter wie für das Unternehmen ausführt." Wenn Schadsoftware die PIN des Sperrbildschirms über ein Overlay stehle und anschließend mit Administratorrechten das Gerätepasswort zurücksetze, so Smith, „geht der Angreifer mit dem Identitätsanker und jedem dahinterstehenden Konto davon".
Die Entwicklung von ToxicPanda spiegelt einen breiteren Trend: Banking-Trojaner beschränken sich nicht mehr auf die Kompromittierung einzelner Finanz-Apps, sondern streben die dauerhafte Kontrolle über das darunterliegende Gerät an. Ein kompromittiertes Mitarbeiter-Smartphone ist zugleich Banking-Gerät, Authentifizierungsfaktor, Passkey-Speicher und Zugang zu Unternehmensanwendungen — und kann als Sprungbrett zu weiteren Ressourcen dienen.
„Da mobile Banking-Bedrohungen wie ToxicPanda immer ausgefeilter werden, reichen herkömmliche signaturbasierte Sicherheitsebenen zum Schutz mobiler Endgeräte in Unternehmen nicht mehr aus", schreibt Pratapagiri. Zimperium empfiehlt einen mehrschichtigen Schutz, der die Schadsoftware an mehreren Punkten der Angriffskette unterbricht.
Smith rät Unternehmen, das Seitwärtsladen von Apps auf Geräten zu blockieren, die in unternehmenseigene Identitätssysteme eingebunden sind, und die Vergabe von Bedienungshilfen-Berechtigungen als privilegierten Zugriff zu protokollieren und zu prüfen. Zudem sollten Alarme ausgelöst werden, wenn auf verwalteten Mobilgeräten Entwickleroptionen oder Wireless Debugging aktiviert werden: „Das ist ein Zeichen, das Ihr Mobile Device Management bereits sehen kann — nur achten die wenigsten darauf."