Uma nova variante do Trojan bancário ToxicPanda para dispositivos Android está ampliando significativamente o risco para usuários móveis, introduzindo capacidades que vão além do simples roubo de credenciais. Identificado pela equipe de inteligência de ameaças da Zimperium, o ToxicPanda 2.0 foi projetado para roubar PINs bancários, imitar telas confiáveis e obter controle profundo dos telefones infectados através de funcionalidades destinadas originalmente a desenvolvedores.
Evolução das capacidades ofensivas
O ToxicPanda 2.0 chega com um conjunto muito mais amplo de alvos e comandos remotos em comparação às versões anteriores. A campanha utiliza arquivos maliciosos hospedados em buckets da Amazon AWS para distribuição, empregando um fluxo de instalação falso para persuadir as vítimas a aprovar permissões sensíveis do Android. Os pesquisadores identificaram que o malware possui 167 comandos remotos distintos, permitindo uma automação sofisticada das operações de ataque.
A escala do problema é considerável, pois a campanha pode visar mais de 140 aplicativos bancários e de criptomoedas para roubo de PINs. As sobreposições de login falsas agora cobrem 349 instituições financeiras em 16 países, demonstrando uma estratégia de ataque generalizada e adaptável. Atividades anteriores do ToxicPanda já haviam infectado mais de 4.500 dispositivos, concentrados principalmente em Portugal e Espanha, mas a expansão sugere um aumento na agressividade dos operadores.
Técnicas de acesso privilegiado via Wireless Debugging
Um dos aspectos mais preocupantes da nova variante é o uso do Android Wireless Debugging para obter acesso ao nível de shell. Essa técnica permite aos criminosos executar comandos e enfraquecer as proteções normais do Android sem precisar de acesso físico ao telefone. O malware usa interações automatizadas na tela para habilitar as Opções de Desenvolvedor, ativar o Debug Sem Fio, acionar o pareamento e coletar o código temporário de seis dígitos.
Em seguida, ele se conecta ao serviço ADB local em 127.0.0.1, ganhando capacidades de usuário shell. Com esse nível de acesso, o malware pode tentar conceder-se permissões adicionais, contornar restrições de segundo plano, habilitar componentes silenciosamente e melhorar sua persistência no dispositivo. Isso expande a ameaça além de um aplicativo convencional de roubo de credenciais, transformando o dispositivo em uma ferramenta de controle remoto completa.
Sobreposição de telas e captura de dados
O ToxicPanda também pode roubar PINs de desbloqueio do dispositivo, senhas e padrões usando uma tela de bloqueio Android falsa. A sobreposição é projetada para se assemelhar à tela legítima, transformando uma tentativa rotineira de desbloqueio em outra oportunidade de coleta de credenciais. Em algumas amostras, os atacantes usam uma atualização de sistema falsa em tela cheia para ocultar atividades maliciosas, mantendo os usuários ocupados enquanto o malware altera configurações ou aguarda informações sensíveis.
O conjunto atualizado de comandos inclui opções para solicitar privilégios de Administrador do Dispositivo e forçar a redefinição da senha da tela de bloqueio do telefone. Outro comando pode carregar uma página da web controlada pelo atacante em um WebView em tela cheia, dando aos criminosos outra maneira de apresentar conteúdo de phishing ou prompts enganosos.
Persistência e evasão de controles de energia
O malware também tenta sobreviver aos controles de gerenciamento de energia do Android. Ele identifica o fabricante do dispositivo e usa Serviços de Acessibilidade para navegar nas configurações específicas do fornecedor de inicialização automática e bateria, visando impedir que o sistema operacional interrompa seus processos em segundo plano. Esse abuso de controle de dispositivo baseado em acessibilidade tornou-se um recurso recorrente de malwares bancários modernos para Android.
Recomendações para CISOs e equipes de segurança
Os usuários devem evitar instalar arquivos APK de links não solicitados ou páginas de download não oficiais. Eles devem tratar solicitações inesperadas de Serviço de Acessibilidade, Administrador do Dispositivo, VPN, Opções de Desenvolvedor ou permissões de Debug Sem Fio como sinais de alerta, especialmente quando o aplicativo solicitante não é claramente confiável. Organizações devem monitorar atividades incomuns de Acessibilidade, alterações automatizadas nas configurações de desenvolvedor, comportamento suspeito de sobreposição e eventos inesperados de pareamento ADB.
A remoção rápida de aplicativos não reconhecidos e a revisão dos serviços de acessibilidade ativados podem ajudar a limitar a exposição antes que os criminosos estabeleçam controle persistente. A análise forense deve focar em logs de instalação de pacotes desconhecidos e tentativas de ativação de serviços de depuração.