Novas análises revelaram que o malware ToxicPanda para Android evoluiu para uma versão mais capaz de controlar dispositivos infectados, ampliando a lista de aplicativos-alvo para 349 e adicionando suporte a 167 comandos remotos. O malware visa aplicativos bancários e financeiros, plataformas de criptomoedas e carteiras eletrônicas em 16 países.
Segundo a empresa de segurança móvel Zimperium, o ToxicPanda 2.0 é distribuído por meio de contêineres hospedados na Amazon Web Services (AWS). A versão mais recente não se limita a roubar credenciais; ela combina a desativação de serviços de proteção, a interceptação das interações do usuário e a execução de comandos no nível do sistema para manter o acesso ao dispositivo.
Permissões de VPN para desativar os serviços do Google
O malware solicita permissões de serviço de VPN para criar uma interface local pela qual passa o tráfego de rede do dispositivo. Por meio dessa interface, o ToxicPanda 2.0 bloqueia as conexões com o Google Play e o Google Play Services antes de extrair e instalar sua carga útil; em seguida, solicita permissões do serviço de acessibilidade.
O controle do tráfego de rede dá ao malware a capacidade de interferir em operações como a verificação de aplicativos, o download de atualizações e a comunicação com o Play Protect, além de desativar algumas medidas usadas pelo Android para proteger o usuário. A importância desse método está no fato de ele atacar a camada de comunicação da qual dependem os serviços de proteção, em vez de apenas ocultar o aplicativo malicioso no dispositivo.
Roubo de credenciais e números PIN
O ToxicPanda usa sobreposições de phishing que visam aplicativos financeiros, e a Zimperium descreveu algumas dessas sobreposições como invisíveis para a vítima, permitindo que o malware capture entradas de toque durante o uso dos aplicativos-alvo. A versão também inclui um módulo separado para coletar números PIN, que visa 140 aplicativos financeiros e de criptomoedas, com capacidade de atualizar dinamicamente a lista de alvos.
O malware também consegue imitar a tela de bloqueio do Android para capturar números PIN, padrões de desbloqueio da tela e senhas. Os pesquisadores observaram amostras que usaram telas falsas de atualização do sistema para ocultar a atividade maliciosa em andamento no dispositivo.
Exploração do Wireless ADB para obter acesso mais amplo
Uma das principais adições na versão analisada é a automatização do uso indevido do Android Debug Bridge, ou ADB. O malware aproveita as permissões do Accessibility Service para ativar as opções do desenvolvedor, habilitar o recurso Wireless Debugging e, em seguida, extrair o código de pareamento de seis dígitos e o número da porta e conectar-se ao serviço ADB local por meio da rede Wi-Fi.
Depois de obter permissões de usuário do shell, o malware executa comandos diretamente por meio do daemon do ADB, conforme explica a Zimperium. Isso permite contornar algumas solicitações habituais de consentimento do Android, conceder a si mesmo amplas permissões, desativar restrições à execução de aplicativos em segundo plano, habilitar silenciosamente componentes importantes e impor mecanismos de persistência.
O que isso significa para os usuários do Android?
A evolução do ToxicPanda indica uma transição dos malwares para Android, que deixam de usar apenas métodos de roubo de credenciais e passam a tentar controlar o próprio fluxo de proteção do dispositivo. Além disso, o uso de configurações específicas dos fabricantes por meio do comando autoBoot ajuda o malware a contornar medidas de economia de bateria que podem interromper processos em segundo plano em dispositivos Xiaomi, OPPO, Vivo, Samsung e Huawei.
A exploração do Wireless ADB continua sendo uma tendência crescente entre os malwares para Android, e a Group-IB já havia relatado anteriormente um mecanismo semelhante em uma versão recente do RedHook. A Zimperium publicou uma lista de indicadores de comprometimento associados à versão mais recente do ToxicPanda em um repositório do GitHub. O ponto prático mais importante é que conceder a um aplicativo não confiável permissões de VPN ou acessibilidade, ou ativar as opções do desenvolvedor, pode permitir que ele desative várias camadas de proteção de uma só vez; no entanto, a fonte não especifica o número de dispositivos infectados nem as entidades por trás da campanha, informações que continuam abertas para análise.