De Android-malware ToxicPanda blokkeert Google Play met een opvallende VPN-truc. Beveiligingsbedrijf Zimperium onderzocht een sterk vernieuwde versie van deze malware. ToxicPanda 2.0 vraagt het slachtoffer om toestemming voor een VPN-dienst. Veel gebruikers geven zo’n verzoek zonder argwaan goedkeuring. Met die toestemming maakt de malware een lokale netwerkinterface op het toestel. Al het dataverkeer loopt daarna door die interface heen. De aanvallers sturen zo alle verbindingen van de telefoon. Die positie gebruiken zij om het verkeer naar Google Play en Google Play Services af te sluiten.
Die blokkade levert de criminelen veel voordeel op. Google controleert apps normaal gesproken op verdachte code. Play Protect waarschuwt gebruikers en verwijdert schadelijke apps van het toestel. Ook updates en app-verificaties lopen via deze kanalen. ToxicPanda 2.0 legt dat verkeer plat en ontloopt zo de bescherming. Het toestel ontvangt daardoor geen enkele waarschuwing meer. De controle op netwerkniveau raakt dus de kern van Android. Pas daarna pakt de malware zijn echte lading uit en installeert die. Vervolgens vraagt het programma toegang tot de Accessibility Service. Die toegankelijkheidsfunctie geeft de malware verregaande controle over het scherm.
Zimperium ziet dat de aanvallers hun malware verspreiden via opslagbuckets bij Amazon AWS. Zulke adressen ogen betrouwbaar, waardoor filters het verkeer minder snel tegenhouden. De nieuwe versie ondersteunt 167 commando’s op afstand. Daarmee bedienen de makers een besmet toestel vrijwel volledig. De malware richt zich op 349 apps in zestien landen. Het gaat om banken, financiële diensten, cryptobeurzen en digitale portemonnees. Een aparte module verzamelt pincodes uit 140 financiële apps en crypto-apps. Die doelenlijst passen de aanvallers onderweg aan. Nieuwe doelwitten bereiken een besmet toestel dus binnen enkele seconden.
Voor de diefstal gebruikt ToxicPanda onzichtbare overlays. De malware legt een doorzichtige laag over een echte app heen. Het slachtoffer merkt niets en typt gewoon zijn gegevens in. Ondertussen registreert de malware elke aanraking van het scherm. Daarnaast bootst ToxicPanda het vergrendelscherm van Android na. Zo onderschept het programma pincodes, ontgrendelpatronen en wachtwoorden. Sommige onderzochte exemplaren tonen bovendien een nep-updatescherm. Achter dat scherm gaan de schadelijke handelingen ongemerkt door. Het slachtoffer wacht intussen geduldig op een update die niet bestaat.
De malware blijft ook na een herstart actief. Het commando autoBoot herkent eerst de fabrikant van het toestel. Daarna opent de malware de bijbehorende instellingen voor automatisch starten of energiebeheer. Telefoons van Xiaomi, OPPO, Vivo, Samsung en Huawei stoppen achtergrondprocessen normaal gesproken. ToxicPanda omzeilt die batterijbescherming en draait daardoor gewoon verder. Een malware die elke start overleeft, blijft veel langer onopgemerkt. De schade voor het slachtoffer loopt daardoor snel op.
Het meest opvallende onderdeel is het misbruik van de Android Debug Bridge. Ontwikkelaars gebruiken dit gereedschap om commando’s op een toestel uit te voeren. Sinds Android 11 werkt ADB ook draadloos via wifi, zonder usb-kabel. Normaal schakelen alleen ontwikkelaars deze functie bewust in. Met de toegankelijkheidsfunctie zet de malware eerst de ontwikkelaarsopties aan. Daarna schakelt het programma draadloos debuggen in. Vervolgens leest het de zescijferige koppelcode en de poort uit. Ten slotte verbindt de malware met de lokale ADB-dienst van de telefoon. Zo verovert ToxicPanda rechten op shellniveau, zonder enige hulp van de gebruiker.
Met die rechten voert de malware zeer krachtige opdrachten uit. Het programma slaat de gewone toestemmingsvensters van Android volledig over. Het kent zichzelf brede rechten toe en schakelt beperkingen voor achtergrondprocessen uit. Ook activeert het stilletjes belangrijke onderdelen en verankert het zichzelf in het systeem. Volgens Zimperium groeit dit misbruik van draadloos ADB snel. Group-IB beschreef onlangs een vergelijkbare aanpak in de malware RedHook. Zimperium publiceerde een lijst met indicatoren van besmetting. Beheerders herkennen daarmee getroffen toestellen sneller. Gebruikers beperken het risico door apps alleen uit officiële winkels te halen. Verzoeken om VPN-rechten of toegankelijkheidsrechten verdienen daarom extra aandacht.
