Wprowadzenie do problemu / definicja
ToxicPanda 2.0 to nowa odsłona złośliwego oprogramowania dla Androida, która wyraźnie wykracza poza klasyczny model trojana bankowego. O ile wcześniejsze warianty skupiały się głównie na kradzieży danych logowania i przejmowaniu sesji aplikacji finansowych, obecna wersja dąży do znacznie głębszej kompromitacji urządzenia. Smartfon staje się tu nie tylko celem samym w sobie, ale również nośnikiem tożsamości cyfrowej, mechanizmów uwierzytelniania i dostępu do zasobów przedsiębiorstwa.
To istotna zmiana z perspektywy bezpieczeństwa mobilnego. Współczesne urządzenia z Androidem przechowują bowiem nie tylko dane prywatne, lecz także aplikacje korporacyjne, tokeny MFA, passkeys, pocztę służbową i narzędzia komunikacyjne. W efekcie przejęcie kontroli nad telefonem może otworzyć atakującym drogę do znacznie szerszych nadużyć niż tradycyjny fraud finansowy.
W skrócie
Najnowszy wariant ToxicPanda znacząco poszerza swoje możliwości operacyjne. Według analiz malware obsługuje 167 komend zdalnych i celuje w 349 aplikacji bankowych, finansowych, portfeli elektronicznych oraz kryptowalutowych w 16 krajach. Szczególnie niebezpieczne jest wykorzystanie funkcji Wireless Debugging oraz Android Debug Bridge, które pozwalają uzyskać dostęp na poziomie powłoki systemowej.
- rozszerzono liczbę wspieranych komend zdalnych,
- zwiększono liczbę atakowanych aplikacji i regionów,
- wykorzystano Accessibility Services do automatyzacji działań,
- nadużyto Wireless Debugging i ADB do pogłębienia kompromitacji,
- podniesiono ryzyko dla środowisk firmowych i modeli BYOD.
Kontekst / historia
Rodzina ToxicPanda została szerzej opisana pod koniec 2024 roku, kiedy była kojarzona przede wszystkim z kampaniami wymierzonymi w użytkowników bankowości mobilnej w Ameryce Łacińskiej oraz części Europy. W tamtym okresie dominował dobrze znany schemat działania: fałszywe nakładki logowania, przechwytywanie poświadczeń, nadużywanie usług dostępności i wykonywanie nieautoryzowanych operacji finansowych.
Nowa wersja pokazuje jednak ewolucję operatorów w kierunku trwałego przejęcia urządzenia. To już nie tylko narzędzie do jednorazowej kradzieży danych, ale platforma do utrzymania kontroli nad telefonem i wykorzystywania go jako punktu wejścia do usług cyfrowych użytkownika. W praktyce oznacza to zbliżenie mobilnych trojanów bankowych do bardziej zaawansowanych zagrożeń znanych ze świata endpointów firmowych.
Analiza techniczna
Najważniejsza zmiana w ToxicPanda 2.0 dotyczy sposobu uzyskiwania uprawnień i utrzymania trwałości. Malware wykorzystuje Accessibility Services do automatyzacji interakcji z interfejsem Androida. Dzięki temu może samodzielnie poruszać się po ustawieniach systemu, aktywować opcje deweloperskie, włączyć Wireless Debugging oraz pobrać kod parowania niezbędny do zestawienia połączenia ADB.
Po skutecznym sparowaniu z Android Debug Bridge złośliwe oprogramowanie uzyskuje dostęp na poziomie shell. To jakościowa zmiana względem typowych trojanów bankowych, które zwykle operują w przestrzeni aplikacyjnej. Dostęp do powłoki systemowej pozwala wykonywać polecenia systemowe, zmieniać konfigurację urządzenia, nadawać dodatkowe uprawnienia, uruchamiać kolejne komponenty i osłabiać część mechanizmów ochronnych.
Istotnym elementem pozostaje także mechanizm nakładki na ekran blokady. Jeśli atakujący pozyska kod PIN lub inne dane służące do odblokowania urządzenia, może przejąć podstawowy punkt zaufania użytkownika. To z kolei zwiększa ryzyko dostępu do passkeys, zatwierdzania powiadomień push MFA, aplikacji SSO oraz innych usług powiązanych z lokalną autoryzacją na smartfonie.
Na uwagę zasługuje również sposób dystrybucji próbek. W analizach wskazano użycie legalnej infrastruktury chmurowej, co utrudnia wykrywanie i blokowanie zagrożenia metodami reputacyjnymi. Tego rodzaju podejście sugeruje większą dojrzałość operacyjną grup stojących za kampanią.
Konsekwencje / ryzyko
Z punktu widzenia przedsiębiorstw ToxicPanda 2.0 stanowi zagrożenie znacznie szersze niż zwykły malware finansowy. W modelach BYOD i COPE jeden telefon często pełni jednocześnie funkcję prywatnego urządzenia, firmowego narzędzia pracy, tokena MFA i magazynu danych uwierzytelniających. Jego kompromitacja może więc mieć skutki zarówno finansowe, jak i operacyjne.
- kradzież danych logowania do usług finansowych i biznesowych,
- obejście lub nadużycie mechanizmów MFA opartych na powiadomieniach push,
- wykorzystanie passkeys przechowywanych lokalnie na urządzeniu,
- manipulacja aplikacjami mobilnymi i aktywnymi sesjami użytkownika,
- utrzymanie trwałego dostępu do smartfona,
- wykorzystanie telefonu jako pomostu do dalszych ataków na zasoby korporacyjne.
Najbardziej narażone są organizacje, które nie monitorują aktywacji Developer Options, nie kontrolują nadawania uprawnień usługom dostępności i dopuszczają instalowanie aplikacji spoza zaufanych kanałów. W takim środowisku malware może działać dłużej, ciszej i skuteczniej omijać tradycyjne mechanizmy detekcji.
Rekomendacje
Organizacje powinny traktować urządzenia mobilne jako pełnoprawny element firmowej powierzchni ataku. Odpowiedź na zagrożenia takie jak ToxicPanda 2.0 wymaga połączenia polityk technicznych, monitoringu oraz edukacji użytkowników.
- zablokować sideloading aplikacji na urządzeniach zarządzanych,
- ograniczyć instalacje do autoryzowanych sklepów i repozytoriów,
- monitorować każde włączenie Developer Options, Wireless Debugging i próbę parowania ADB,
- traktować nadawanie Accessibility Services jako zdarzenie uprzywilejowane,
- wdrożyć rozwiązania klasy MTD lub mobilny EDR z analizą behawioralną,
- egzekwować aktualizacje Androida i minimalny poziom poprawek bezpieczeństwa,
- stosować warunkowy dostęp zależny od stanu bezpieczeństwa urządzenia,
- ograniczyć zależność od jednego smartfona jako jedynego nośnika tożsamości i MFA,
- szkolić użytkowników w zakresie fałszywych aplikacji i nadużyć uprawnień.
Podsumowanie
ToxicPanda 2.0 pokazuje, że mobilne trojany bankowe wchodzą w nową fazę rozwoju. Celem atakujących nie jest już wyłącznie przejęcie danych logowania czy jednorazowa kradzież środków, ale pełniejsze przejęcie urządzenia, które stało się centrum tożsamości cyfrowej użytkownika. Nadużycie Wireless Debugging, ADB i Accessibility Services przesuwa to zagrożenie z kategorii klasycznego bankera do grupy bardziej zaawansowanych narzędzi kompromitacji mobilnej.
Dla zespołów bezpieczeństwa oznacza to konieczność objęcia smartfonów podobnym poziomem kontroli, monitoringu i reakcji jak stacji roboczych czy serwerów. W przeciwnym razie mobilny endpoint może stać się najsłabszym ogniwem całego środowiska firmowego.
Źródła
- Dark Reading – ToxicPanda Banking Trojan Matures Into Enterprise Threat — https://www.darkreading.com/mobile-security/toxicpanda-banking-trojan-matures-enterprise-threat
- Zimperium Blog – The ToxicPanda Never Sleeps: ToxicPanda 2.0 Prepares its Next Strike on Mobile — https://zimperium.com/blog/the-toxicpanda-never-sleeps-toxicpanda-2.0-prepares-its-next-strike-on-mobile
- Zimperium zLabs – Uncovers ToxicPanda 2.0, a Significantly More Powerful Android Banking Trojan — https://zimperium.com/resources/zimperium-zlabs-uncovers-toxicpanda-2.0-a-significantly-more-powerful-android-banking-trojan?hs_amp=true
- Zimperium – 2026 Banking Heist Report / Banking Malware Expands Global Reach — https://zimperium.com/resources/new-zimperium-report-finds-banking-malware-expands-global-reach-targeting-1200-financial-apps