ToxicPanda 2.0: trojan bancário para Android agora mira 349 instituições financeiras em 16 países
O trojan bancário ToxicPanda evoluiu para uma versão 2.0 que amplia drasticamente seu alcance, saindo de um foco europeu restrito para atacar 349 aplicativos financeiros em 16 países. A nova versão abusa da depuração sem fio (Wireless Debugging) do Android para obter acesso em nível de shell ao aparelho sem o conhecimento da vítima, além de usar telas sobrepostas falsas para roubar credenciais bancárias, PINs e senhas de bloqueio. A descoberta foi publicada pela equipe zLabs da Zimperium.
A Zimperium documentou uma nova leva do ToxicPanda, malware bancário para Android que até então era visto como uma ameaça regional e de escala limitada, concentrada em bancos europeus. A versão 2.0 muda esse quadro por completo: o número de instituições financeiras visadas saltou de 16 para 349, espalhadas por 16 países, e o arsenal de comandos remotos disponíveis para os operadores cresceu para 167, sinal de que o grupo por trás da ameaça está investindo pesado em profissionalizar a operação.
A infecção começa de forma relativamente comum: o malware se apresenta como um aplicativo legítimo e pede permissões de VPN, que são então usadas para bloquear o Google Play Protect antes de instalar silenciosamente o payload real, escondido nos arquivos de assets do próprio app. A partir daí, o diferencial técnico do ToxicPanda 2.0 entra em cena — o abuso do Android Wireless Debugging. O malware automatiza o processo de ativar o modo desenvolvedor (simulando os sete toques no número de build), liga a depuração sem fio, captura o código de pareamento de seis dígitos usando serviços de acessibilidade e completa sozinho o handshake criptográfico do ADB. O resultado é acesso em nível de shell ao dispositivo, um patamar de controle muito além do que overlays tradicionais costumam oferecer.
Com esse acesso, o malware combina duas frentes de roubo de credenciais: sobrepõe telas de login falsas (ou camadas transparentes que capturam toques) por cima dos apps financeiros reais para coletar senhas e PINs bancários, e também falsifica a tela de bloqueio do próprio aparelho para roubar PIN, padrão ou senha de acesso. Em casos mais extremos, o relatório da Zimperium aponta que o malware consegue até remover remotamente a senha de tela de bloqueio usando APIs legítimas de gerenciamento de dispositivo Android — ou seja, ele não precisa quebrar nenhuma proteção, apenas abusar de funcionalidades administrativas que o próprio sistema operacional expõe.
A distribuição das amostras agora passa por buckets da Amazon AWS, o que facilita escalar a campanha e dificulta o bloqueio por reputação de domínio único. Esse é justamente o ponto central do alerta da Zimperium: como o ataque se apoia em recursos legítimos do Android (permissões de acessibilidade, depuração sem fio, APIs de administração de dispositivo) em vez de explorar uma vulnerabilidade específica, soluções de segurança baseadas em assinatura tendem a não detectar o comportamento. A defesa passa a depender de identificar uso anômalo de funções normais do sistema, não de corrigir uma falha pontual.
Na prática, o principal ponto de prevenção continua sendo a origem do aplicativo: instalar apps apenas pela loja oficial e desconfiar de qualquer instalador fora dela que peça permissões de VPN, acessibilidade ou administração de dispositivo sem justificativa clara. Para usuários já infectados, a ativação inesperada da depuração sem fio (visível em Opções do desenvolvedor) e telas de login que se comportam de forma estranha são sinais de alerta. Instituições financeiras, por sua vez, devem reforçar camadas de detecção comportamental e device fingerprinting no app bancário — capazes de identificar sessões operadas via ADB ou padrões de toque não humanos — já que a autenticação tradicional por senha e PIN estático se mostra insuficiente diante desse tipo de controle remoto do aparelho.