ToxicPanda 2.0 è ancora più pericoloso: il malware ora punta a centinaia di app bancarie

Il malware bancario ToxicPanda torna a far parlare di sé con una nuova versione che aumenta in maniera significativa le proprie capacità e, soprattutto, il numero di applicazioni finanziarie prese di mira. Zimperium ha infatti individuato ToxicPanda 2.0, una variante aggiornata del trojan Android che introduce nuovi strumenti per rubare credenziali, PIN e dati sensibili, oltre a un sistema automatizzato per ottenere maggiori privilegi sul dispositivo della vittima.

Rispetto alla precedente versione, ToxicPanda 2.0 appare molto più maturo e completo, il malware dispone ora di ben 167 comandi remoti e può prendere di mira 349 applicazioni bancarie, finanziarie, di pagamento, portafogli elettronici e criptovalute distribuite il 16 Paesi. La precedente iterazione, invece, era stata osservata mentre prendeva di mira appena 16 applicazioni bancarie.

L’espansione non riguarda soltanto il numero di bersagli, gli sviluppatori hanno infatti trasformato in funzionalità operative anche alcuni strumenti che nelle precedenti analisi risultavano ancora incompleti, rendendo ToxicPanda 2.0 una minaccia decisamente più articolata.

Segui TuttoAndroid su Google Discover

ToxicPanda 2.0 può rubare PIN e credenziali bancarie

Il funzionamento del malware continua a basarsi in larga parte sull’abuso dei Servizi di accessibilità per Android, una tecnologia legittima pensata per migliorare l’accessibilità del sistema ma che, quando viene concessa a un’applicazione malevola, può fornire un controllo estremamente ampio sull’interfaccia del dispositivo.

ToxicPanda 2.0 utilizza questo meccanismo per monitorare le applicazioni aperte e individuare quelle finanziarie presenti sullo smartphone. Una volta riconosciuta un’app appartenente alla lista dei bersagli, il malware può richiedere al proprio server di comando e controllo una sovrapposizione HTML progettata per imitare l’interfaccia dell’applicazione originale.

La vittima può quindi trovarsi davanti a una schermata apparentemente legittima e inserire inconsapevolmente username, password, PIN o altri dati sensibili, e le informazioni vengono successivamente raccolte e inviate agli aggressori.

La lista dei bersagli inoltre, non è necessariamente statica; attraverso il comando replacePinTargets, gli operatori possono aggiornare da remoto i pacchetti e le parole chiave utilizzati per individuare le applicazioni interessate, permettendo a TocixPanda 2.0 di modificare nel tempo il proprio raggio d’azione.

Il malware può anche utilizzare un overlay trasparente per intercettare i tocchi effettuati dal’utente mentre utilizza un’applicazione finanziaria, in questo modo gli aggressori possono cercare di ottenere il PIN senza dover necessariamente mostrare una schermata di phishing evidente.

Ancora più preoccupante è la nuova capacità di rubare le credenziali utilizzate per sbloccare lo stesso smartphone. ToxicPanda 2.0 può infatti mostrare una schermata contraffatta che riproduce quella di blocco di Android, inducendo l’utente a inserire PIN, sequenza o password; se l’attacco ha successo, gli aggressori possono ottenere un elemento fondamentale per mantenere il controllo sul dispositivo.

Il malware può sfruttare anche il debug wireless di Android

Una delle novità più interessanti e pericolose di ToxicPanda 2.0 riguarda il modo in cui il malware cerca di aumentare i propri privilegi. Gli esperti di Zimperium hanno scoperto un sistema automatizzato che sfrutta il debug wireless di Android e aADB per arrivare a ottenere un accesso a livello di shell.

Il processo parte dalla Opzioni sviluppatore, se queste non sono già abilitate ToxicPanda utilizza i Servizi di accessibilità per aprire la sezione dedicata alle informazioni sul dispositivo e individuare la voce relativa al numero della build, a quel punto simula i sette tocchi necessari per attivare le Opzioni sviluppatore.

Il malware procede quindi verso le impostazioni dedicate al debug wireless, individua la relativa voce e tenta di abilitarla automaticamente. Successivamente apre la funzione che permette di associare il dispositivo tramite codice di abbinamento e utilizza i Servizi di accessibilità per leggere il PIN a sei cifre generato da Android insieme alla porta utilizzata per la connessione.

Con questo ToxicPanda può completare il processo di pairing attraverso il protocollo SPAKE2 e stabilire un canale TLS con il demone ADB locale. Una volta ottenuti i privilegi di shell, il malware può eseguire i comandi con un livello di accesso superiore rispetto a quello normalmente disponibile a una semplice applicazione.

Questo meccanismo può essere utilizzato per aggirare alcune restrizioni di Android, modificare impostazioni, abilitare componenti e rendere più difficile la rimozione della minaccia.

ToxicPanda 2.0 dispone inoltre di strumenti pensati per ottenere privilegi di amministratore del dispositivo, il comando admSet, per esempio, può aprire la schermata di attivazione dell’amministratore e utilizzare un messaggio ingannevole per convincere la vittima a concedere l’autorizzazione. Un altro comando, admPwd, può sfruttare le funzionalità di gestione del dispositivo per tentare di modificare la password o il PIN di blocco.

A questo si aggiunge il comando autoBoot, progettato per affrontare uno dei problemi più comuni dei malware Android, ossia le restrizioni imposte dai produttori all’esecuzione delle applicazioni in background.

ToxicPanda può identificare il produttore del dispositivo e aprire automaticamente le impostazioni specifiche utilizzate da aziende come Xiaomi, Samsung, OPPO, vivo e HUAWEI per la gestione della batteria e l’avvio automatico. Attraverso i Servizi di accessibilità, il malware può quindi cercare di modificare queste impostazioni e impedire al sistema di interrompere la propria attività.

Anche la distribuzione cambia: ToxicPanda sfrutta Amazon AWS

La nuova variante non si limita a migliorare le proprie capacità sul dispositivo, Zimperium ha osservato anche un cambiamento nell’infrastruttura utilizzata per distribuire il malware, con alcuni campioni ospitati all’interno di bucket Amazon AWS.

Una volta installato, ToxicPanda stabilisce la comunicazione con la propria infrastruttura di comando e controllo attraverso una richiesta HTTPS iniziale; successivamente viene instaurata una connessione WebSocket persistente che permette agli operatori di inviare comandi e ricevere informazioni dal dispositivo in tempo quasi reale.

Le comunicazioni vengono protette tramite crittografia AES in modalità ECB, con la chiave incorporata direttamente nel codice del malware. Attraverso questo canale gli aggressori possono controllare le funzionalità disponibili e aggiornare diversi elementi della configurazione dell’infezione.

ToxicPanda 2.0 può inoltre nascondere le proprie attività mostrando alla vittima schede apparentemente legittime. Tra queste c’è una falsa schermata di aggiornamento del sistema, visualizzata a schermo intero mente il malware continua a lavorare in background. Le interfacce vengono generate attraverso contenuti HTML presenti all’interno dell’applicazione, rendendo più difficile per l’utente capire cosa stia realmente accadendo sul dispositivo.

Il quadro che emerge dall’analisi di Zimperium è quindi quello di un trojan bancario che non si limita più al semplice furto delle credenziali tramite overlay, Toxicpanda 2.0 combina monitoraggio delle applicazioni, phishing, intercettazione dei tocchi, furto delle credenziali di sblocco, abuso dell’accessibilità, sfruttamento del debug wireless e tecniche per mantenere la persistenza sul dispositivo.

Per gli utenti Android, questo rappresenta un ulteriore motivo per prestare particolare attenzione alle applicazioni installate e, soprattutto, alle autorizzazioni concesse. Un’applicazione che richiede l’accesso ai Servizi di accessibilità o ad altre funzioni particolarmente potenti senza una motivazione chiara dovrebbe essere considerata con estrema cautela, soprattutto se proviene da fonti esterne ai normali canali di distribuzione.