ToxicPanda-Android-Malware blockiert Google Play über VPN-Zugriff

Die ToxicPanda-Android-Malware verfügt über neue Methoden, um Sicherheitsfunktionen zu beeinträchtigen, Bankdaten zu stehlen und die Kontrolle über infizierte Smartphones aufrechtzuerhalten. Forscher berichten, dass die aktualisierte Bedrohung den Datenverkehr zu Google Play über eine lokale VPN-Schnittstelle blockiert, bevor sie ihre Haupt-Payload installiert.

ToxicPanda nutzt VPN-Zugriff, um Google-Dienste zu blockieren

Forscher von Zimperium stellten fest, dass ToxicPanda 2.0 zunächst über einen gefälschten Installationsbildschirm Berechtigungen für den Android-VPN-Dienst anfordert.

Sobald der Nutzer den Zugriff gewährt, erstellt die Malware eine lokale VPN-Schnittstelle und blockiert die Kommunikation mit Google Play und Google Play Services. Dadurch könnten App-Verifizierungen, Updates, Play-Protect-Prüfungen und andere Sicherheitsmaßnahmen beeinträchtigt werden.

Anschließend entschlüsselt und installiert die Malware ihre versteckte Payload. Danach fordert sie das Opfer auf, die Android Accessibility Services zu aktivieren.

Zimperium zufolge werden die neuesten Samples über auf Amazon AWS gehostete Buckets verbreitet.

Malware zielt auf Hunderte Finanz-Apps ab

Die ToxicPanda-Android-Malware unterstützt inzwischen Phishing-Overlays für 349 Banking-, Finanz-, E-Wallet- und Kryptowährungs-Apps in 16 Ländern.

Wenn ein Opfer eine der anvisierten Apps öffnet, kann die Malware einen passenden gefälschten Bildschirm von ihrem Command-and-Control-Server anfordern. Diese Overlays imitieren echte Anmelde- oder Zahlungsseiten und sollen Zugangsdaten, PINs und andere sensible Informationen stehlen.

Die aktualisierte Version enthält außerdem ein Modul zum Abgreifen von PINs für mehr als 140 Finanz- und Kryptowährungs-Apps. Die Liste der Ziel-Apps kann aus der Ferne aktualisiert werden.

Forscher erklärten, dass die Malware ein unsichtbares Overlay verwenden kann, um Berührungseingaben innerhalb der anvisierten Apps zu erfassen. Sie kann außerdem den Android-Sperrbildschirm imitieren, um Geräte-PINs, Passwörter und Entsperrmuster zu stehlen.

Missbrauch von Wireless ADB verschafft Angreifern Shell-Zugriff

Eine der gefährlichsten neuen Funktionen von ToxicPanda ist die Fähigkeit, Wireless Debugging, auch als Wireless ADB bekannt, zu missbrauchen.

Mithilfe von Accessibility-Berechtigungen kann die Malware die Developer Options aktivieren und Wireless Debugging einschalten. Anschließend extrahiert sie den Kopplungscode und den Port aus der Android-Oberfläche, bevor sie sich mit dem lokalen ADB-Dienst des Geräts verbindet.

Dadurch erhalten Angreifer Zugriff auf Shell-Ebene. Sie können diesen nutzen, um zusätzliche Berechtigungen zu erteilen, Hintergrundbeschränkungen zu umgehen, schädliche Komponenten zu aktivieren und die Persistenz zu verstärken.

Gefälschte Updates helfen, schädliche Aktivitäten zu verbergen

Einige ToxicPanda-Samples zeigen gefälschte Systemupdate-Seiten im Vollbildmodus an, während die Malware im Hintergrund ausgeführt wird. Diese irreführenden Bildschirme helfen dabei, ihre Aktivitäten vor den Nutzern zu verbergen.

Die Malware enthält außerdem Befehle, die auf Akku- und Autostart-Einstellungen von Geräten von Xiaomi, OPPO, Vivo, Samsung und Huawei abzielen. Durch Änderungen dieser Einstellungen kann sie die Energieverwaltungsmechanismen von Android umgehen, die ihre Hintergrundprozesse andernfalls stoppen würden.

Die erweiterte ToxicPanda-Android-Malware zeigt, wie Bedrohungsakteure VPN-Berechtigungen, den Missbrauch von Bedienungshilfen und Wireless Debugging kombinieren können, um eine umfassendere Kontrolle über Android-Geräte zu erlangen.

Nutzer sollten die Installation von Apps aus inoffiziellen Quellen vermeiden, unerwartete Anfragen nach VPN- oder Accessibility-Berechtigungen ablehnen und Google Play Protect aktiviert lassen.