De ToxicPanda Android-malware heeft nieuwe kwaadaardige functionaliteiten gekregen en richt zich nu op 349 applicaties, met ondersteuning voor 167 externe commando's. De malware vraagt om VPN-servicepermissies om een lokale interface te creëren waarmee het netwerkverkeer kan worden gecontroleerd. Hierdoor kan ToxicPanda 2.0 communicatie van Google Play en Google Play Services blokkeren.

Door controle op netwerkniveau kan de malware beveiligingscontroles en acties verstoren, zoals app-verificaties, updates, Play Protect-communicatie en legitieme onderbrekingen die gebruikers beschermen. Na het verkrijgen van VPN-permissies blokkeert ToxicPanda 2.0 eerst de communicatie met Google Play, waarna het zijn payload extraheert en installeert en vervolgens om Accessibility Service-permissies vraagt.

Volgens het mobiele beveiligingsbedrijf Zimperium wordt ToxicPanda 2.0 verspreid via Amazon AWS-gehoste opslagplaatsen. Analyse toont aan dat de malware functies bevat om de Android Wireless Debugging Bridge (ADB) te automatiseren, waardoor shell-toegang tot geïnfecteerde apparaten mogelijk is. De nieuwste versie ondersteunt 167 externe commando's en phishing-overlays voor 349 apps op het gebied van bankieren, financiën, cryptocurrency en e-wallets, gericht op 16 landen.

Daarnaast bevat de malware een apart module voor het verzamelen van pincode-informatie, gericht op 140 financiële en cryptocurrency-apps, met een dynamisch aanpasbare lijst van doelwitten. De app-overlays zijn onzichtbaar voor slachtoffers, waardoor de malware invoer op doelapps kan vastleggen. ToxicPanda vervalst ook het Android-vergrendelscherm om pincodes, ontgrendelpatronen en wachtwoorden te onderscheppen. Sommige malwareversies gebruiken nep-systeemupdate-schermen om kwaadaardige activiteiten te verbergen.

Een commando met de naam 'autoBoot' identificeert de fabrikant van het apparaat en opent de bijbehorende instellingen voor automatisch opstarten of energiebeheer om persistentie te waarborgen. Volgens Zimperium omzeilt dit batterijbesparingsmaatregelen die achtergrondprocessen op Xiaomi-, OPPO-, Vivo-, Samsung- en Huawei-apparaten beëindigen.

Een opvallende functie is het misbruik van de Android Debug Bridge (ADB) via Wi-Fi, geïntroduceerd in Android 11. Met de Accessibility Services-permissie activeert de malware de ontwikkelaarsopties, schakelt draadloos debuggen in, haalt de zes-cijferige ADB-koppelcode en poort op en maakt verbinding met de lokale ADB-service van het apparaat. Hiermee voert de malware commando's met hoge privileges uit, omzeilt runtime-toestemmingsprompts, neutraliseert achtergrondbeperkingen van het besturingssysteem, activeert kritieke componenten stilzwijgend en zorgt voor blijvende aanwezigheid.

Het misbruik van draadloze ADB is een groeiende trend onder Android-malware, ook andere malwarefamilies zoals RedHook gebruiken vergelijkbare technieken. Zimperium heeft een lijst met indicatoren van compromittering (IoC's) gepubliceerd in deze GitHub-repository.