ToxicPanda Android 恶意软件利用 VPN 权限阻止 Google Play

ToxicPanda Android恶意软件已进化出新的恶意功能，将攻击目标扩展至349款应用，并新增支持167条远程命令。

该恶意软件现在会请求VPN服务权限，以创建一个本地接口，从而控制经过的网络流量。此功能使ToxicPanda 2.0能够阻止来自Google Play和Google Play服务的通信。

通过网络层面的控制，恶意软件可干扰各种安全检查和操作，如应用验证、更新、Play Protect通信，以及旨在保护用户的合法中断机制。

在获得VPN服务权限后，ToxicPanda 2.0会在提取并安装其载荷之前阻断与Google Play的通信，随后再请求无障碍服务权限。

移动安全公司Zimperium表示，ToxicPanda 2.0通过托管于Amazon AWS的存储桶进行分发。

对该恶意软件的分析显示，其新增了自动化Android无线调试桥（ADB）的功能，可获取受感染设备的shell级访问权限。

该最新版本支持167条远程命令，并为针对16个国家的349款银行、金融、加密货币和电子钱包应用提供钓鱼覆盖层。

它还包括一个独立的PIN码窃取模块，针对140款金融和加密货币应用，并可动态更新目标列表。

据研究人员称，这些应用覆盖层对受害者不可见，使恶意软件能够捕获目标应用上的触摸输入。

ToxicPanda还会伪造Android锁屏，以窃取设备PIN码、解锁图案和密码。

部分被分析样本还使用伪造的系统更新界面，以隐藏正在进行的恶意活动。

其中一条名为“autoBoot”的命令，可识别宿主设备制造商，并启动相应的OEM特定自启动或电源管理设置，以维持持久化。

滥用ADB

最新ToxicPanda版本中一个突出的功能是自动滥用Android调试桥（ADB）以获取shell访问权限。

ADB是在Android设备上执行shell命令的命令行工具。无线ADB自Android 11引入，可通过Wi-Fi提供此访问，无需USB连接。

利用无障碍服务权限，该恶意软件启用开发者选项，激活无线调试，提取六位ADB配对码和端口，并与设备本地ADB服务建立连接。

Zimperium解释称：“一旦恶意软件获得shell用户权限，它便开始通过ADB守护进程直接执行高权限命令，从而绕过标准Android运行时同意提示，自行授予广泛权限、消除操作系统后台限制、静默启用关键组件并强制持久化。”

无线ADB滥用正成为Android恶意软件的上升趋势，其他Android恶意软件作者也已在其实工具中实现了该功能。近期，Group-IB也报告了RedHook恶意软件最新版本中实现了类似机制。

Zimperium已在GitHub仓库中发布了与最新ToxicPanda版本相关的入侵指标（IoC）列表。