2026-08-23 00:00
← VoltarO malware ToxicPanda para Android evoluiu com novas funcionalidades maliciosas, expandindo seu direcionamento para 349 aplicativos e adicionando suporte para 167 comandos remotos. O malware agora solicita permissões de serviço VPN para criar uma interface local que permita controlar o tráfego de rede que passa por ele. O recurso permite que o ToxicPanda 2.0 bloqueie a comunicação do Google Play e do Google Play Services. O controle no nível da rede permite que o malware interfira em diversas verificações e ações de segurança, como verificações de aplicativos, atualizações, comunicação do Play Protect ou interrupções legítimas projetadas para proteger os usuários. Depois de obter permissões de serviço VPN, o ToxicPanda 2.0 bloqueia as comunicações com o Google Play antes de extrair e instalar sua carga útil e, em seguida, solicita permissões de serviço de acessibilidade. Fonte: Zimperium A empresa de segurança móvel Zimperium afirma que o ToxicPanda 2.0 está sendo distribuído por meio de buckets hospedados na Amazon AWS. A análise do malware revelou que ele agora inclui funções para automatizar o Android Wireless Debugging Bridge (ADB), permitindo acesso em nível de shell aos dispositivos infectados. A versão mais recente do malware suporta 167 comandos remotos e sobreposições de phishing para 349 aplicativos bancários, financeiros, de criptomoeda e de carteira eletrônica direcionados a 16 países.
Ele também inclui um módulo separado de coleta de PIN direcionado a 140...
O malware ToxicPanda para Android evoluiu com novas funcionalidades maliciosas, expandindo seu direcionamento para 349 aplicativos e adicionando suporte para 167 comandos remotos. O malware agora solicita permissões de serviço VPN para criar uma interface local que permita controlar o tráfego de rede que passa por ele. O recurso permite que o ToxicPanda 2.0 bloqueie a comunicação do Google Play e do Google Play Services. O controle no nível da rede permite que o malware interfira em diversas verificações e ações de segurança, como verificações de aplicativos, atualizações, comunicação do Play Protect ou interrupções legítimas projetadas para proteger os usuários. Depois de obter permissões de serviço VPN, o ToxicPanda 2.0 bloqueia as comunicações com o Google Play antes de extrair e instalar sua carga útil e, em seguida, solicita permissões de serviço de acessibilidade. Fonte: Zimperium A empresa de segurança móvel Zimperium afirma que o ToxicPanda 2.0 está sendo distribuído por meio de buckets hospedados na Amazon AWS. A análise do malware revelou que ele agora inclui funções para automatizar o Android Wireless Debugging Bridge (ADB), permitindo acesso em nível de shell aos dispositivos infectados. A versão mais recente do malware suporta 167 comandos remotos e sobreposições de phishing para 349 aplicativos bancários, financeiros, de criptomoeda e de carteira eletrônica direcionados a 16 países.
Ele também inclui um módulo separado de coleta de PIN direcionado a 140 aplicativos financeiros e de criptomoeda e pode atualizar dinamicamente a lista de alvos. De acordo com os pesquisadores, as sobreposições de aplicativos são invisíveis para a vítima, permitindo que o malware capture entradas de toque em aplicativos direcionados. O ToxicPanda também falsifica a tela de bloqueio do Android para capturar PINs de dispositivos, padrões de desbloqueio e senhas. Algumas amostras de malware analisadas também usaram telas falsas de atualização do sistema para ocultar atividades maliciosas em andamento. Sobreposições de atualização falsas usadas pelo ToxicPanda Fonte: Zimperium Um comando, ‘autoBoot’, identifica o fabricante do dispositivo host e inicia as configurações correspondentes de inicialização automática ou gerenciamento de energia específicas do OEM para manter a persistência. Zimperium relata que isso ignora as proteções de consumo de bateria que eliminam processos em segundo plano em dispositivos Xiaomi, OPPO, Vivo, Samsung e Huawei. Abusando do ADB Um recurso que se destaca na versão recente do Toxic Panda analisada é o abuso automático do Android Debug Bridge (ADB) para obter acesso ao shell. ADB é a ferramenta de linha de comando para executar comandos shell em dispositivos Android.
O Wireless ADB, introduzido no Android 11, fornece esse acesso por Wi-Fi sem conexão USB. Usando a permissão dos Serviços de acessibilidade, o malware habilita as opções do desenvolvedor, ativa a depuração sem fio, extrai o código e a porta de emparelhamento ADB de seis dígitos e se conecta ao serviço ADB local do dispositivo. Fonte: Zimperium “Depois que o malware obtém permissões de usuário do shell, ele começa a executar comandos de alto privilégio diretamente por meio do daemon ADB, o malware ignora os prompts de consentimento padrão do tempo de execução do Android para conceder a si mesmo permissões amplas, neutralizar restrições de segundo plano do sistema operacional, ativar silenciosamente componentes críticos e impor persistência”, explica Zimperium. O abuso de ADB sem fio é uma tendência crescente entre os malwares Android, à medida que outros autores de malware Android o implementaram em suas ferramentas maliciosas. Recentemente, o Group-IB relatou um mecanismo semelhante implementado na versão mais recente do malware RedHook. Zimperium publicou uma lista de indicadores de comprometimento (IoCs) associados à versão mais recente do ToxicPanda neste repositório GitHub.