Wprowadzenie do problemu / definicja
Nowa fala zagrożeń dla systemu Android pokazuje, że mobilne trojany bankowe coraz częściej wykraczają poza klasyczną kradzież haseł i kodów SMS. W centrum uwagi znalazły się kampanie związane z rodzinami malware ToxicPanda 2.0 oraz GoldDigger, które wykorzystują mechanizmy dostępności, nakładki ekranowe i zdalne sterowanie urządzeniem do realizacji oszustw finansowych bezpośrednio na zainfekowanym smartfonie.
Taki model ataku znacząco utrudnia wykrycie nadużyć przez systemy antyfraudowe, ponieważ wiele działań wygląda jak aktywność prawdziwego użytkownika. Z perspektywy banku transakcja może być wykonywana z legalnej aplikacji, na właściwym urządzeniu i z użyciem poprawnej sesji.
W skrócie
- ToxicPanda 2.0 to rozwinięta wersja mobilnego trojana bankowego atakującego ponad 140 aplikacji finansowych i kryptowalutowych.
- Malware nadużywa usług dostępności, nakładek ekranowych oraz funkcji Wireless Debugging do uzyskania szerszej kontroli nad urządzeniem.
- GoldDigger rozwija model on-device fraud, umożliwiając wykonywanie nieautoryzowanych działań z poziomu urządzenia ofiary.
- Obie kampanie pokazują, że Android pozostaje jednym z głównych celów grup przestępczych nastawionych na monetyzację przez oszustwa finansowe.
Kontekst / historia
ToxicPanda, znany także jako TgToxic, pozostaje aktywny co najmniej od 2022 roku. Wcześniejsze warianty tej rodziny malware były już wiązane z atakami na aplikacje finansowe, jednak najnowsza odsłona wyraźnie zwiększa skalę operacji, poziom automatyzacji i zakres geograficzny.
GoldDigger został szerzej opisany w 2023 roku jako trojan zdolny do realizacji fraudu bezpośrednio na urządzeniu użytkownika. Zagrożenie jest łączone z operatorem określanym jako GoldFactory, któremu przypisuje się także inne kampanie ukierunkowane na sektor finansowy. Najnowsze obserwacje wskazują, że przestępcy nie ograniczają się już do przynęt związanych z bankowością, lecz podszywają się również pod aplikacje linii lotniczych, sklepów i usług konsumenckich.
Analiza techniczna
ToxicPanda 2.0 opiera się na nadużyciu usługi dostępności Androida, ale w znacznie bardziej rozbudowanej formie niż starsze wersje. Po infekcji malware może odczytywać elementy interfejsu, zbierać dane wpisywane przez użytkownika, inicjować kliknięcia i wykonywać sekwencje działań w aplikacjach ofiary. Dzięki temu nadaje się zarówno do kradzieży poświadczeń, jak i do realizacji konkretnych operacji finansowych.
Jednym z najgroźniejszych elementów jest workflow przechwytywania kodu PIN i danych blokady ekranu. Szkodnik używa pełnoekranowych nakładek imitujących komunikaty systemowe lub ekrany aktualizacji, a także przezroczystych warstw przechwytujących dotyk. Pozwala to skuteczniej pozyskiwać wrażliwe dane i ukrywać rzeczywiste działania malware.
Istotnym rozszerzeniem możliwości jest nadużycie funkcji Android Wireless Debugging. Z pomocą mechanizmów dostępności malware może przeprowadzić użytkownika przez proces aktywacji opcji programistycznych i debugowania bezprzewodowego, a następnie wykorzystać ADB do uzyskania bardziej uprzywilejowanego dostępu. To otwiera drogę do działań wykraczających poza klasyczne overlay attacks i umożliwia dalszą manipulację systemem.
ToxicPanda 2.0 komunikuje się z infrastrukturą dowodzenia i kontroli z użyciem HTTPS, a następnie WebSocketów, co wspiera interaktywną obsługę kampanii i wykonywanie poleceń w czasie rzeczywistym. Malware może także wzmacniać trwałość infekcji poprzez nadawanie sobie uprawnień administratora urządzenia, zmianę lokalnego PIN-u lub hasła blokady oraz obchodzenie ograniczeń oszczędzania energii.
GoldDigger również prezentuje wysoki poziom dojrzałości technicznej. W analizach wskazywano użycie pakera utrudniającego analizę kodu, szyfrowanie natywnej logiki, mechanizmy wykrywania instrumentacji oraz techniki blokujące debugowanie. To zestaw charakterystyczny dla kampanii rozwijanych z myślą o odporności na reverse engineering i działania zespołów badawczych.
Po stronie operacyjnej GoldDigger nadużywa uprawnień dostępności do wykonywania czynności imitujących użytkownika, takich jak wpisywanie tekstu, klikanie przycisków czy wykonywanie gestów w aplikacji bankowej. W praktyce umożliwia to inicjowanie nieautoryzowanych transakcji z poziomu legalnej aplikacji ofiary. Dodatkowo malware może udostępniać operatorowi ekran w czasie rzeczywistym, wyświetlać fałszywe formularze logowania oraz wspierać przechwytywanie danych i obserwację aktywności użytkownika.
Kanał C2 GoldDigger także wykorzystuje WebSockety. Zdalne polecenia mogą obejmować żądanie dostępu do usług dostępności i lokalizacji, zbieranie wiadomości SMS oraz kontaktów, otwieranie aplikacji i wskazanych zasobów, a nawet rejestrowanie audio i wideo. W efekcie zagrożenie wykracza poza model klasycznego trojana bankowego i staje się platformą do inwigilacji oraz fraudu finansowego.
Konsekwencje / ryzyko
Najpoważniejszą konsekwencją obu kampanii jest wzrost skuteczności oszustw wykonywanych bezpośrednio na urządzeniu. Dla systemów antyfraudowych aktywność może wyglądać jak normalne zachowanie klienta, ponieważ pochodzi z prawidłowej aplikacji, typowej lokalizacji i legalnej sesji użytkownika.
Dla ofiary oznacza to ryzyko utraty środków, przejęcia kont finansowych, wycieku danych osobowych, wiadomości SMS i kontaktów, a także utraty kontroli nad samym telefonem. Możliwość zmiany lokalnego PIN-u lub hasła blokady ekranu dodatkowo zwiększa ryzyko całkowitego zablokowania dostępu do urządzenia.
Z perspektywy organizacji finansowych problem polega na tym, że tradycyjne zabezpieczenia, takie jak MFA, reputacja urządzenia czy prosty device fingerprinting, mogą okazać się niewystarczające. Jeśli atakujący działa wewnątrz legalnej sesji i korzysta z funkcji systemowych, wykrycie nadużycia staje się znacznie trudniejsze.
Rekomendacje
Użytkownicy powinni instalować aplikacje wyłącznie z zaufanych źródeł i zawsze weryfikować wydawcę przed instalacją. Szczególną ostrożność należy zachować wobec aplikacji podszywających się pod linie lotnicze, sklepy, kurierów czy usługi finansowe, zwłaszcza jeśli od razu żądają szerokich uprawnień.
- Nie przyznawaj usług dostępności aplikacjom, które nie mają jednoznacznego i wiarygodnego uzasadnienia.
- Zwracaj uwagę na prośby o uprawnienia administratora urządzenia, dostęp do ekranu oraz aktywację opcji programistycznych.
- Unikaj instalowania oprogramowania spoza zatwierdzonych sklepów i linków przesyłanych w wiadomościach.
- W przypadku podejrzenia infekcji natychmiast odłącz urządzenie od sieci i skontaktuj się z bankiem.
W środowiskach firmowych warto wdrożyć polityki MDM lub EMM ograniczające instalację aplikacji spoza zatwierdzonego katalogu, monitorujące użycie uprawnień wysokiego ryzyka oraz blokujące aktywację opcji programistycznych. Zespoły bezpieczeństwa powinny rozwijać detekcję zdarzeń związanych z usługą dostępności, nakładkami ekranowymi, nietypowym użyciem WebSocketów oraz próbami aktywacji Wireless Debugging.
Banki i dostawcy usług finansowych powinni rozwijać telemetrię mobilną ukierunkowaną na wykrywanie wzorców on-device fraud, takich jak nienaturalne sekwencje interfejsowe, anomalie związane z automatyzacją kliknięć czy nietypowe relacje między akcjami użytkownika a odpowiedzią aplikacji. W razie potwierdzonej infekcji najbezpieczniejszym rozwiązaniem może być pełne wyczyszczenie urządzenia i jego ponowna konfiguracja z zaufanego obrazu.
Podsumowanie
ToxicPanda 2.0 i GoldDigger pokazują wyraźny kierunek ewolucji mobilnych zagrożeń finansowych: od prostego phishingu i kradzieży kodów jednorazowych do zautomatyzowanego fraudu realizowanego lokalnie na urządzeniu ofiary. Nadużycie usług dostępności, nakładek ekranowych, zdalnego sterowania i funkcji takich jak Wireless Debugging sprawia, że granica między trojanem bankowym a platformą pełnego przejęcia urządzenia coraz bardziej się zaciera.
Dla obrońców oznacza to konieczność głębszej analizy zachowania aplikacji mobilnych, a dla użytkowników większą ostrożność przy instalacji programów i przyznawaniu uprawnień. Mobilny kanał finansowy pozostaje jednym z najważniejszych obszarów walki z cyberprzestępczością.
Źródła
- The Hacker News – ToxicPanda 2.0 and GoldDigger Expand Android Banking Attacks with On-Device Fraud – https://thehackernews.com/2026/08/toxicpanda-20-and-golddigger-expand.html
- Zimperium zLabs report on ToxicPanda 2.0 – https://www.zimperium.com/blog/toxicpanda-2-0-android-banking-malware
- Android Developers – Wireless debugging – https://developer.android.com/studio/debug/dev-options#wireless-debugging
- IBM – GoldDigger mobile banking malware analysis – https://www.ibm.com/think/x-force/golddigger-mobile-malware-on-device-fraud
- Group-IB – GoldDigger malware research – https://www.group-ib.com/blog/golddigger-android-ios-banking-trojan/