Malware Android ToxicPanda telah berevolusi dengan fungsionalitas berbahaya baru, memperluas targetnya ke 349 aplikasi dan menambahkan dukungan untuk 167 perintah jarak jauh.

Malware tersebut kini meminta izin layanan VPN untuk membuat antarmuka lokal yang memungkinkannya mengontrol lalu lintas jaringan yang melewatinya. Fitur ini memungkinkan ToxicPanda 2.0 untuk memblokir komunikasi dari Google Play dan Google Play Services.

Kontrol di tingkat jaringan memungkinkan malware untuk mengganggu berbagai pemeriksaan dan tindakan keamanan, seperti verifikasi aplikasi, pembaruan, komunikasi Play Protect, atau gangguan sah yang dirancang untuk melindungi pengguna.

Setelah mendapatkan izin layanan VPN, ToxicPanda 2.0 memblokir komunikasi ke Google Play sebelum mengekstrak dan menginstal muatannya, kemudian meminta izin Layanan Aksesibilitas.

Perusahaan keamanan seluler Zimperium mengatakan bahwa ToxicPanda 2.0 didistribusikan melalui bucket yang dihosting di Amazon AWS.

Analisis terhadap malware tersebut mengungkapkan bahwa kini malware tersebut menyertakan fungsi untuk mengotomatisasi Android Wireless Debugging Bridge (ADB), memungkinkan akses tingkat shell ke perangkat yang terinfeksi.

Versi terbaru dari malware ini mendukung 167 perintah jarak jauh dan lapisan phishing untuk 349 aplikasi perbankan, keuangan, mata uang kripto, dan dompet elektronik yang menargetkan 16 negara.

Fitur ini juga mencakup modul pengumpulan PIN terpisah yang menargetkan 140 aplikasi keuangan dan mata uang kripto serta dapat memperbarui daftar target secara dinamis.

Menurut para peneliti, lapisan aplikasi tersebut tidak terlihat oleh korban, sehingga memungkinkan malware untuk menangkap input sentuhan pada aplikasi yang ditargetkan.

ToxicPanda juga memalsukan layar kunci Android untuk menangkap PIN perangkat, pola pembuka kunci, dan kata sandi.

Beberapa sampel malware yang dianalisis juga menggunakan layar pembaruan sistem palsu untuk menyembunyikan aktivitas jahat yang sedang berlangsung.

Satu perintah, 'autoBoot,' mengidentifikasi pabrikan perangkat host dan meluncurkan pengaturan auto-start atau manajemen daya khusus OEM yang sesuai untuk mempertahankan persistensi.

Zimperium melaporkan bahwa ini melewati perlindungan konsumsi baterai yang menghentikan proses latar belakang pada perangkat Xiaomi, OPPO, Vivo, Samsung, dan Huawei.

Penyalahgunaan ADB

Salah satu fitur yang menonjol dalam versi Toxic Panda terbaru yang dianalisis adalah penyalahgunaan otomatis Android Debug Bridge (ADB) untuk mendapatkan akses shell.

ADB adalah alat baris perintah untuk mengeksekusi perintah shell pada perangkat Android. Wireless ADB, yang diperkenalkan di Android 11, menyediakan akses ini melalui Wi-Fi tanpa koneksi USB.

Dengan menggunakan izin Layanan Aksesibilitas, malware tersebut mengaktifkan Opsi Pengembang, mengaktifkan Debugging Nirkabel, mengekstrak kode dan port pemasangan ADB enam digit, dan terhubung dengan layanan ADB lokal perangkat.

“Begitu malware mendapatkan izin pengguna shell, ia mulai mengeksekusi perintah tingkat tinggi secara langsung melalui daemon ADB. Malware ini melewati permintaan persetujuan runtime Android standar untuk memberikan dirinya izin yang luas, menetralkan pembatasan latar belakang OS, mengaktifkan komponen penting secara diam-diam, dan menegakkan persistensi,” jelas Zimperium .

Penyalahgunaan ADB nirkabel merupakan tren yang berkembang di antara malware Android, karena penulis malware Android lainnya telah menerapkannya dalam alat jahat mereka. Baru-baru ini, Group-IB melaporkan mekanisme serupa yang diterapkan dalam versi terbaru malware RedHook .

Zimperium telah menerbitkan daftar indikator kompromi (IoC) yang terkait dengan versi ToxicPanda terbaru di repositori GitHub ini .