新たな分析により、Android向けマルウェアToxicPandaが、感染端末をより強力に制御できるバージョンへと進化し、標的アプリのリストを349個に拡大するとともに、167個のリモートコマンドへの対応を追加したことが明らかになった。このマルウェアは、16か国の銀行・金融アプリ、暗号通貨プラットフォーム、電子ウォレットを標的にしている。
モバイルセキュリティ企業Zimperiumによると、ToxicPanda 2.0はAmazon Web Services（AWS）上でホストされたコンテナを通じて配布されている。最新版は認証情報の窃取にとどまらず、防御サービスの無効化、ユーザー操作の傍受、システムレベルでのコマンド実行を組み合わせ、端末へのアクセスを維持する。
VPN権限でGoogleのサービスを無効化
このマルウェアはVPNサービスの権限を要求し、端末上のネットワーク通信を通過させるローカルインターフェースを作成する。このインターフェースを通じて、ToxicPanda 2.0はペイロードを抽出してインストールする前に、Google PlayおよびGoogle Play Servicesとの通信を遮断し、その後、アクセシビリティサービスの権限を要求する。
ネットワーク通信を制御することで、このマルウェアはアプリの検証、アップデートのダウンロード、Play Protectとの通信などの処理に介入できるほか、Androidがユーザー保護のために依存する一部の措置を無効化できる。この手法が重要なのは、悪意あるアプリを端末内で隠すだけでなく、防御サービスが依存する通信層を攻撃する点にある。
認証情報とPINの窃取
ToxicPandaは金融アプリを標的とするフィッシングオーバーレイを使用しており、Zimperiumはその一部を被害者から見えないものと説明している。これにより、マルウェアは標的アプリの使用中にタッチ入力を取得できる。また、このバージョンにはPIN番号を収集する独立したモジュールも含まれており、140個の金融・暗号通貨アプリを標的とし、標的リストを動的に更新できる。
さらに、このマルウェアはAndroidのロック画面を模倣し、PIN番号、画面ロックのパターン、パスワードを取得できる。研究者は、端末上で進行中の悪意ある活動を隠すため、偽のシステム更新画面を使用したサンプルも確認した。
Wireless ADBを悪用してより広範なアクセスを取得
分析対象となったバージョンにおける主な追加機能の一つは、Android Debug Bridge（ADB）の悪用を自動化する機能である。このマルウェアはAccessibility Serviceの権限を利用して開発者向けオプションを有効化し、Wireless Debugging機能を有効にした後、6桁のペアリングコードとポート番号を抽出し、Wi-Fiネットワーク経由でローカルADBサービスに接続する。
Zimperiumの説明によると、シェルユーザーの権限を取得した後、マルウェアはADBデーモンを介してコマンドを直接実行する。これにより、Androidで通常行われる一部の承認要求を回避し、自らに広範な権限を付与し、バックグラウンドでのアプリ実行制限を無効化し、重要なコンポーネントを密かに有効化し、永続化の仕組みを強制できる。
Androidユーザーにとって何を意味するのか？
ToxicPandaの進化は、Androidマルウェアが認証情報の窃取だけを行う手法から、端末自体の防御経路を制御しようとする手法へ移行していることを示している。また、autoBootコマンドを通じてメーカー固有の設定を使用することで、Xiaomi、OPPO、Vivo、Samsung、Huaweiにおいてバックグラウンドプロセスを停止させる可能性のあるバッテリー節約措置をマルウェアが回避できる。
Wireless ADBの悪用は、Androidマルウェアの間で拡大している傾向であり、Group-IBは以前、RedHookの最新バージョンで同様の仕組みを報告している。Zimperiumは、ToxicPandaの最新バージョンに関連する侵害指標の一覧をGitHubリポジトリで公開した。実務上最も重要な点は、信頼できないアプリにVPN、アクセシビリティ、または開発者向けオプションの有効化に関する権限を与えると、複数の防御層を一度に無効化される可能性があることだ。ただし、情報源は感染端末の数やキャンペーンの背後にいる主体を特定しておらず、これらの情報は引き続き確認中である。