De nouvelles analyses ont révélé que le logiciel malveillant ToxicPanda pour Android a évolué vers une version plus capable de contrôler les appareils infectés, en portant la liste des applications ciblées à 349 et en ajoutant la prise en charge de 167 commandes à distance. Le logiciel malveillant cible des applications bancaires et financières, des plateformes de cryptomonnaies et des portefeuilles électroniques dans 16 pays.
Selon la société de sécurité des appareils mobiles Zimperium, ToxicPanda 2.0 est distribué via des conteneurs hébergés sur Amazon Web Services (AWS). La version la plus récente ne se limite pas au vol des identifiants ; elle combine la désactivation des services de protection, l’interception des interactions de l’utilisateur et l’exécution de commandes au niveau du système afin de conserver l’accès à l’appareil.
Des privilèges VPN pour désactiver les services Google
Le logiciel malveillant demande les privilèges du service VPN afin de créer une interface locale par laquelle transite le trafic réseau de l’appareil. Grâce à cette interface, ToxicPanda 2.0 bloque les connexions à Google Play et à Google Play Services avant d’extraire et d’installer sa charge utile, puis demande les privilèges du service d’accessibilité.
Le contrôle du trafic réseau permet au logiciel malveillant d’intervenir dans des opérations telles que la vérification des applications, le téléchargement des mises à jour et la connexion à Play Protect, en plus de désactiver certaines mesures utilisées par Android pour protéger l’utilisateur. L’importance de cette méthode réside dans le fait qu’elle attaque la couche de communication dont dépendent les services de protection, plutôt que de se contenter de dissimuler l’application malveillante sur l’appareil.
Vol des identifiants et des codes PIN
ToxicPanda utilise des superpositions d’hameçonnage qui ciblent les applications financières. Zimperium a décrit certaines de ces superpositions comme étant invisibles pour la victime, ce qui permet au logiciel malveillant de capturer les saisies tactiles lors de l’utilisation des applications ciblées. La version comprend également un module distinct de collecte des codes PIN qui cible 140 applications financières et de cryptomonnaies, avec la possibilité de mettre à jour dynamiquement la liste des cibles.
Le logiciel malveillant peut également imiter l’écran de verrouillage d’Android afin de capturer les codes PIN, les schémas de déverrouillage et les mots de passe. Les chercheurs ont observé des échantillons utilisant de faux écrans de mise à jour du système pour dissimuler l’activité malveillante en cours sur l’appareil.
Exploitation de Wireless ADB pour obtenir un accès plus large
L’une des principales nouveautés de la version analysée est l’automatisation de l’utilisation abusive d’Android Debug Bridge, ou ADB. Le logiciel malveillant exploite les privilèges de l’Accessibility Service pour activer les options destinées aux développeurs, activer la fonctionnalité Wireless Debugging, puis extraire le code d’association à six chiffres et le numéro de port avant de se connecter au service ADB local via un réseau Wi-Fi.
Après avoir obtenu les privilèges de l’utilisateur shell, le logiciel malveillant exécute directement des commandes via le démon ADB, selon l’explication de Zimperium. Cela permet de contourner certaines demandes d’autorisation habituelles d’Android, de s’accorder de larges privilèges, de désactiver les restrictions d’exécution des applications en arrière-plan, d’activer silencieusement des composants importants et d’imposer des mécanismes de persistance.
Qu’est-ce que cela signifie pour les utilisateurs d’Android ?
L’évolution de ToxicPanda indique que les logiciels malveillants sur Android passent du simple vol d’identifiants à une tentative de contrôle du propre dispositif de protection de l’appareil. En outre, l’utilisation de paramètres propres aux fabricants via la commande autoBoot aide le logiciel malveillant à contourner les mesures d’économie d’énergie susceptibles d’arrêter les processus en arrière-plan chez Xiaomi, OPPO, Vivo, Samsung et Huawei.
L’exploitation de Wireless ADB demeure une tendance croissante parmi les logiciels malveillants Android, puisque Group-IB avait déjà signalé un mécanisme similaire dans une version récente de RedHook. Zimperium a publié une liste des indicateurs de compromission associés à la dernière version de ToxicPanda dans un dépôt GitHub. Le point pratique le plus important est que l’octroi à une application non fiable de privilèges VPN ou d’accessibilité, ou l’activation des options destinées aux développeurs, peut lui permettre de désactiver plusieurs couches de protection en une seule fois. Toutefois, la source ne précise pas le nombre d’appareils infectés ni les entités à l’origine de la campagne, des informations qui restent ouvertes à l’examen.