Malware Android ToxicPanda blocca Google Play con permessi VPN

Il malware Android ToxicPanda ha introdotto nuove funzionalità per bypassare le protezioni di Google Play, permettendo agli attaccanti di bloccare le comunicazioni con il marketplace e installare il payload senza essere rilevati. L’analisi ha rivelato che il malware richiede permessi di servizio VPN per creare un’interfaccia locale che controlli il traffico di rete, ostacolando l’aggiornamento e la verifica delle app. Questo meccanismo permette a ToxicPanda 2.0 di interrompere le comunicazioni con Google Play e Google Play Services, limitando la capacità del sistema di rilevare l’attività maliosa.

Il controllo a livello di rete è una strategia chiave per il malware, permettendogli di interrompere varie verifiche di sicurezza, come l’aggiornamento delle app o le comunicazioni con Play Protect. Dopo aver ottenuto i permessi di servizio VPN, il malware blocca le comunicazioni con Google Play prima di estrarre e installare il suo payload, richiedendo successivamente i permessi del servizio di accessibilità. Questo approccio rende difficile per gli utenti rilevare l’attività maliosa, poiché il malware opera in modo invisibile.

Funzionalità per il furto di credenziali e persistenza

ToxicPanda 2.0 non si limita a bloccare le comunicazioni con Google Play, ma include anche un modulo per il furto di PIN e password. Il malware si finge lo schermo di blocco Android per catturare le credenziali degli utenti, inclusi i pattern di sblocco e le password. Inoltre, utilizza overlay fittizi per simulare aggiornamenti, nascondendo l’attività maliosa.

Le app target sono principalmente quelle finanziarie e di criptovaluta, con un totale di 349 applicazioni interessate in 16 paesi. Il malware supporta 167 comandi remoti, permettendo agli attaccanti di eseguire azioni complesse senza essere rilevati. L’accesso al sistema shell è garantito attraverso l’abuso del Wireless Debugging Bridge (ADB), un strumento di sviluppo Android. Questo meccanismo permette al malware di ottenere accesso a livello di sistema e mantenere la persistenza sul dispositivo.

Abuso del Wireless ADB e persistenza del malware

Un aspetto chiave del malware è l’abuso del Wireless ADB, introdotto in Android 11. Questa funzionalità permette l’accesso a livello shell senza connessione USB. ToxicPanda sfrutta questa caratteristica per attivare le opzioni di sviluppo, ottenere il codice di pairing e connettersi al servizio ADB locale.

Il malware utilizza il comando ‘autoBoot’ per mantenere la persistenza, identificando il produttore del dispositivo e avviando le impostazioni specifiche del produttore. Questo permette al malware di rimanere attivo anche dopo il riavvio del dispositivo. Inoltre, bypassa le protezioni di consumo di batteria su dispositivi come Xiaomi, OPPO, Vivo, Samsung e Huawei, rendendo più difficile il rilevamento e la rimozione.

Questo tipo di attacco non è un fenomeno isolato, ma parte di una tendenza in crescita tra i malware Android. Altri autori di malware, come Group-IB, hanno implementato meccanismi simili nel loro malware RedHook. Zimperium ha pubblicato una lista di indicatori di compromissione (IoCs) associati a ToxicPanda 2.0, permettendo agli utenti di rilevare e rimuovere il malware. La protezione rimane un problema critico, poiché solo il 37% delle azioni degli attaccanti viene bloccato una volta ottenuti i credenziali validi.