La nuova versione del malware Android ToxicPanda sfrutta i permessi VPN per bloccare Google Play e Google Play Services, ampliando il controllo su centinaia di app e introducendo comandi remoti avanzati per eludere le protezioni di sicurezza.
Il malware Android ToxicPanda si è evoluto, introducendo funzionalità dannose inedite che ne aumentano la pericolosità. La versione 2.0 del malware ora richiede i permessi per il servizio VPN, creando un'interfaccia locale che gli consente di controllare il traffico di rete in transito sul dispositivo. Questa capacità permette a ToxicPanda di bloccare le comunicazioni verso Google Play e Google Play Services, ostacolando verifiche di sicurezza, aggiornamenti, Play Protect e altre funzioni di protezione degli utenti.
Dopo aver ottenuto i permessi VPN, ToxicPanda 2.0 blocca le comunicazioni con Google Play prima di estrarre e installare il proprio payload, per poi richiedere anche i permessi di Accessibility Service. Secondo Zimperium, società specializzata in sicurezza mobile, la diffusione del malware avviene tramite bucket ospitati su Amazon AWS.
Espansione delle funzionalità e delle app bersaglio
L'ultima analisi rivela che ToxicPanda ora prende di mira 349 applicazioni, supportando ben 167 comandi remoti. Tra le novità, il malware automatizza l'uso dell'Android Wireless Debugging Bridge (ADB), ottenendo così accesso a livello shell sui dispositivi infetti. Inoltre, sono stati implementati overlay di phishing per app bancarie, finanziarie, di criptovalute e portafogli elettronici in 16 paesi, oltre a un modulo separato per la raccolta dei PIN che colpisce 140 app finanziarie e crypto. Gli overlay sono invisibili all'utente e consentono la cattura degli input touch, mentre la schermata di blocco viene falsificata per carpire PIN, pattern e password. Alcuni campioni analizzati mostrano anche finte schermate di aggiornamento di sistema per mascherare le attività malevole in corso.
Persistenza e abuso di ADB wireless
Una delle funzioni più sofisticate è il comando 'autoBoot', che identifica il produttore del dispositivo e avvia le impostazioni di auto-avvio o gestione energetica specifiche dell'OEM, eludendo così le protezioni che chiudono i processi in background su dispositivi Xiaomi, OPPO, Vivo, Samsung e Huawei. L'abuso automatico di ADB wireless, introdotto con Android 11, consente al malware di attivare le Opzioni sviluppatore, abilitare il debug wireless, estrarre il codice di accoppiamento ADB e collegarsi al servizio locale, tutto tramite i permessi Accessibility Service.
Ottenuti i privilegi di shell, ToxicPanda esegue comandi ad alto privilegio tramite il demone ADB, aggirando i consensi standard di Android per garantirsi permessi estesi, neutralizzare restrizioni di sistema, abilitare componenti critici e mantenere la persistenza. Zimperium segnala che l'abuso di ADB wireless è una tendenza crescente tra i malware Android, come già osservato anche nel caso del malware RedHook. Per chi desidera approfondire le strategie di attacco avanzate adottate dai gruppi ransomware, è interessante notare come anche il gruppo Clop abbia sviluppato strumenti personalizzati per colpire infrastrutture specifiche, come descritto in questo approfondimento sulle web shell Java mirate a PTC Windchill.
Implicazioni per la sicurezza mobile
La capacità di bloccare Google Play e Play Protect, unita all'automazione di ADB wireless e ai sofisticati moduli di phishing, rende ToxicPanda 2.0 una delle minacce più avanzate attualmente in circolazione per Android. Gli utenti sono invitati a prestare massima attenzione alle richieste di permessi insoliti e a evitare l'installazione di app da fonti non ufficiali. Zimperium ha pubblicato una lista aggiornata degli indicatori di compromissione (IoC) relativi a ToxicPanda su GitHub, utile per la rilevazione e la prevenzione di nuove infezioni.
