Neue Analysen haben ergeben, dass sich die Android-Schadsoftware ToxicPanda zu einer leistungsfähigeren Version weiterentwickelt hat, die eine umfassendere Kontrolle über infizierte Geräte ermöglicht. Dabei wurde die Liste der anvisierten Anwendungen auf 349 erweitert und Unterstützung für 167 Befehle aus der Ferne hinzugefügt. Die Schadsoftware zielt in 16 Ländern auf Banking- und Finanzanwendungen, Plattformen für Kryptowährungen sowie elektronische Geldbörsen ab.
Laut dem Mobilgerätesicherheitsunternehmen Zimperium wird ToxicPanda 2.0 über Container verteilt, die auf Amazon Web Services (AWS) gehostet werden. Die neueste Version beschränkt sich nicht auf den Diebstahl von Zugangsdaten, sondern kombiniert die Deaktivierung von Schutzdiensten, das Abfangen von Benutzerinteraktionen und die Ausführung von Befehlen auf Systemebene, um den Zugriff auf das Gerät aufrechtzuerhalten.
VPN-Berechtigungen zur Deaktivierung von Google-Diensten
Die Schadsoftware fordert die Berechtigungen eines VPN-Dienstes an, um eine lokale Schnittstelle einzurichten, über die der Netzwerkverkehr des Geräts geleitet wird. Über diese Schnittstelle blockiert ToxicPanda 2.0 die Verbindungen zu Google Play und Google Play Services, bevor sie ihre Nutzlast abruft und installiert. Anschließend fordert sie die Berechtigungen des Bedienungshilfedienstes an.
Die Kontrolle über den Netzwerkverkehr ermöglicht der Schadsoftware, in Vorgänge wie die Überprüfung von Anwendungen, das Herunterladen von Updates und die Verbindung zu Play Protect einzugreifen sowie bestimmte Maßnahmen zu deaktivieren, auf die sich Android zum Schutz der Nutzer stützt. Die Bedeutung dieser Methode liegt darin, dass sie die Verbindungsebene angreift, auf die sich die Schutzdienste stützen, anstatt die Schadsoftware lediglich auf dem Gerät zu verstecken.
Diebstahl von Zugangsdaten und PINs
ToxicPanda verwendet Phishing-Overlays, die auf Finanzanwendungen abzielen. Zimperium bezeichnete einige dieser Overlays als für das Opfer unsichtbar, wodurch die Schadsoftware Berührungseingaben während der Nutzung der anvisierten Anwendungen erfassen kann. Die Version enthält außerdem ein separates Modul zur Sammlung von PINs, das auf 140 Finanz- und Kryptowährungsanwendungen abzielt und die Zielliste dynamisch aktualisieren kann.
Die Schadsoftware kann außerdem einen Android-Sperrbildschirm nachahmen, um PINs, Entsperrmuster und Passwörter zu erfassen. Die Forscher beobachteten Samples, die gefälschte Systemaktualisierungsbildschirme verwendeten, um die laufenden schädlichen Aktivitäten auf dem Gerät zu verbergen.
Ausnutzung von Wireless ADB für umfassenderen Zugriff
Zu den wichtigsten Ergänzungen der analysierten Version gehört die Automatisierung des Missbrauchs der Android Debug Bridge, kurz ADB. Die Schadsoftware nutzt die Berechtigungen des Bedienungshilfedienstes, um die Entwickleroptionen zu aktivieren, die Funktion „Wireless Debugging“ einzuschalten, anschließend den aus sechs Ziffern bestehenden Kopplungscode und die Portnummer auszulesen und über ein WLAN-Netzwerk eine Verbindung zum lokalen ADB-Dienst herzustellen.
Nach dem Erhalt der Berechtigungen eines Shell-Benutzers führt die Schadsoftware laut der Erklärung von Zimperium Befehle direkt über den ADB-Daemon aus. Dadurch kann sie bestimmte übliche Zustimmungsanfragen von Android umgehen, sich weitreichende Berechtigungen erteilen, Einschränkungen für die Ausführung von Anwendungen im Hintergrund deaktivieren, wichtige Komponenten unbemerkt aktivieren und Mechanismen zur Persistenz erzwingen.
Was bedeutet das für Android-Nutzer?
Die Entwicklung von ToxicPanda deutet darauf hin, dass Android-Schadsoftware von reinen Methoden zum Diebstahl von Zugangsdaten dazu übergeht, den Schutzmechanismus des Geräts selbst kontrollieren zu wollen. Die Verwendung herstellerspezifischer Einstellungen über den Befehl autoBoot hilft der Schadsoftware außerdem, Energiesparmaßnahmen zu umgehen, die Hintergrundprozesse bei Xiaomi, OPPO, Vivo, Samsung und Huawei beenden könnten.
Der Missbrauch von Wireless ADB bleibt ein zunehmender Trend bei Android-Schadsoftware. Group-IB berichtete zuvor über einen ähnlichen Mechanismus in einer aktuellen Version von RedHook. Zimperium veröffentlichte eine Liste der mit der neuesten ToxicPanda-Version verbundenen Indicators of Compromise in einem GitHub-Repository. Der wichtigste praktische Punkt besteht darin, dass die Erteilung von VPN- oder Bedienungshilfeberechtigungen an eine nicht vertrauenswürdige Anwendung oder die Aktivierung der Entwickleroptionen es ihr ermöglichen kann, mehrere Schutzebenen gleichzeitig zu deaktivieren. Die Quelle gibt jedoch weder die Zahl der infizierten Geräte noch die Akteure hinter der Kampagne an; diese Informationen sind weiterhin Gegenstand der Überprüfung.