El malware bancario ToxicPanda ha evolucionado con una nueva versión que incorpora técnicas más agresivas para controlar dispositivos Android, interferir con los mecanismos de seguridad de Google y robar credenciales de aplicaciones bancarias y de criptomonedas. La nueva variante, identificada como ToxicPanda 2.0, puede bloquear las comunicaciones con Google Play, abusar del Android Debug Bridge inalámbrico y ejecutar hasta 167 comandos remotos.
Según el análisis realizado por Zimperium, el malware amplía además su alcance hasta 349 aplicaciones bancarias, financieras, de criptomonedas y monederos digitales repartidas en 16 países.
La evolución de ToxicPanda muestra cómo los troyanos bancarios para Android continúan incorporando funciones destinadas no solo a robar información, sino también a mantener el control persistente del dispositivo y dificultar las acciones defensivas.
ToxicPanda utiliza permisos VPN para bloquear Google Play
Una de las principales novedades de ToxicPanda 2.0 es el abuso de los permisos del servicio VPN de Android.
Una vez que la víctima concede esta autorización, el malware crea una interfaz local que le permite controlar el tráfico de red que pasa por el dispositivo. Desde ese punto puede bloquear las comunicaciones hacia Google Play y Google Play Services.
Esta capacidad puede interferir con procesos de seguridad como las verificaciones de aplicaciones, las actualizaciones, las comunicaciones con Play Protect o determinadas medidas diseñadas para proteger al usuario frente a software malicioso.
Según los investigadores, ToxicPanda obtiene primero los permisos VPN, bloquea las conexiones con los servicios de Google y posteriormente extrae e instala su carga maliciosa antes de solicitar acceso a los Servicios de Accesibilidad de Android.
349 aplicaciones financieras en el punto de mira
La nueva versión ha ampliado de forma notable su lista de objetivos.
ToxicPanda 2.0 dispone de superposiciones de phishing para 349 aplicaciones relacionadas con banca, finanzas, criptomonedas y monederos digitales.
Estas superposiciones pueden mostrarse sobre las aplicaciones legítimas de forma que la víctima crea que sigue interactuando con su banco o servicio financiero habitual.
Además, el malware incorpora un módulo separado dirigido a la captura de códigos PIN en 140 aplicaciones financieras y de criptomonedas. La lista de objetivos puede actualizarse dinámicamente.
Los investigadores señalan que determinadas capas maliciosas permanecen invisibles para la víctima mientras registran sus interacciones táctiles, lo que facilita el robo de credenciales y otra información introducida en pantalla.
También puede copiar el bloqueo del propio teléfono
ToxicPanda no limita su actividad a las aplicaciones bancarias.
El malware es capaz de imitar la pantalla de bloqueo de Android para intentar capturar el PIN del dispositivo, patrones de desbloqueo y contraseñas.
Algunas muestras analizadas también utilizan falsas pantallas de actualización del sistema para ocultar las operaciones que se están ejecutando en segundo plano.
De esta manera, el usuario puede pensar que el teléfono está instalando una actualización legítima mientras el malware activa funciones adicionales o modifica la configuración del dispositivo.
El abuso de ADB inalámbrico aumenta el control del dispositivo
Una de las capacidades más destacadas de esta nueva variante es la automatización del Android Debug Bridge (ADB) inalámbrico.
ADB es una herramienta legítima utilizada por desarrolladores y administradores para ejecutar comandos en dispositivos Android. Desde Android 11 puede utilizarse también de forma inalámbrica, sin necesidad de conectar el teléfono mediante USB.
ToxicPanda aprovecha los permisos de Accesibilidad para activar las opciones de desarrollador, habilitar la depuración inalámbrica, obtener el código de emparejamiento de seis dígitos y conectarse posteriormente al servicio ADB local del propio dispositivo.
Una vez conseguido el acceso mediante shell, el malware puede ejecutar comandos con mayores privilegios y saltarse determinados avisos de consentimiento que normalmente mostraría Android.
Esto le permite concederse permisos adicionales, modificar restricciones de funcionamiento en segundo plano y reforzar su persistencia.
El malware intenta evitar que Android lo cierre
ToxicPanda 2.0 incorpora además una función denominada autoBoot, diseñada para identificar el fabricante del dispositivo y abrir automáticamente las opciones específicas relacionadas con el inicio automático y la gestión energética.
Esta capacidad busca evitar las protecciones que algunos fabricantes incorporan para cerrar aplicaciones que consumen recursos en segundo plano.
Los investigadores han observado esta técnica en dispositivos de fabricantes como Xiaomi, OPPO, Vivo, Samsung y Huawei.
La intención es clara: mantener el malware activo durante el mayor tiempo posible, incluso cuando el sistema intenta limitar los procesos que permanecen funcionando en segundo plano.
