Fälle von Schadsoftware mit Bankenzweck nehmen auf Android weiter Fahrt auf. Zwei aktuelle Bedrohungen stehen besonders im Fokus: ToxicPanda 2.0 und GoldDigger. Beide zielen darauf ab, auf kompromittierten Geräten vertrauliche Daten zu erbeuten und betrügerische Handlungen im Kontext von Banking-Apps auszulösen. Dabei kombinieren die Varianten klassische Methoden wie Overlay-basierten Diebstahl mit neuen Fähigkeiten, um sich besser zu tarnen und mehr Ziele zu erreichen.
Im Folgenden erfahren Sie, welche Neuerungen die Angreifer nutzen, wie die Schadsoftware typischerweise mit Berechtigungen umgeht und welche Schritte Sie konkret unternehmen können, um sich zu schützen.
ToxicPanda 2.0: Mehr Befehle, breitere Angriffsfläche
Forscher haben eine aktualisierte Version von ToxicPanda (auch als TgToxic bekannt) untersucht. Die neue Ausgabe bringt laut Berichten deutliche Verbesserungen mit sich, darunter 167 zusätzliche Remote-Kommandos. Gleichzeitig soll sich die Kampagne deutlich stärker weltweit ausdehnen als zuvor.
Ein zentrales Element bleibt die Manipulation über Android-Zugriffsmöglichkeiten. ToxicPanda missbraucht die Barrierefreiheitsdienste (Accessibility), um Elemente der Benutzeroberfläche auszulesen. So können Angreifer Informationen direkt aus dem dargestellten Screen gewinnen. Zusätzlich ist eine Overlay-basierte Methode zur Credential-Erbeutung Teil des Angriffsansatzes.
PIN-Diebstahl über mehr als 140 Banking- und Krypto-Apps
Bei der aktuellen Version wird außerdem eine PIN-Erfassungs-Workflow beschrieben, der sich auf mehr als 140 Banking- und Kryptowert-Anwendungen richtet. Das ist eine spürbare Ausweitung gegenüber einer früheren Version, die deutlich weniger Banking-Apps ins Visier nahm.
Die Angriffslogik nutzt dabei verschiedene Techniken, um Nutzeraktivitäten zu überdecken. Dazu gehört unter anderem, dass ToxicPanda vollflächige „System-Update“-Overlays anzeigen kann, während im Hintergrund weitere Aktionen laufen. Parallel kann eine unsichtbare, transparente Overlay-Komponente genutzt werden, um Touch-Eingaben abzugreifen und PIN-Codes zu sammeln.
Neue Mechanismen: Wireless Debugging und Rechteausweitung
Neben dem Ausbau der Kommandos wurden laut den Berichten auch zuvor nicht vollständig implementierte Befehle ergänzt. Ein weiterer Punkt betrifft das Auslesen von Sperrbildschirm-Anmeldedaten über eine gefälschte Overlay-Darstellung.
Besonders relevant für das Risiko ist zudem ein automatisierter Ansatz, der auf Android Wireless Debugging abzielt. Der Schadcode missbraucht hierzu Komponenten rund um Android Debug Bridge (ADB), um eine Rechteausweitung sowie Shell-Zugriff auf betroffene Geräte zu ermöglichen. Dafür verwendet die Malware ebenfalls Accessibility-Funktionen, um Developer Options zu aktivieren und Wireless Debugging einzuschalten.
So kommuniziert ToxicPanda 2.0 mit der Kommandozentrale
ToxicPanda 2.0 baut zunächst eine Verbindung zur Command-and-Control (C2)-Infrastruktur auf. Dafür sendet die Malware eine erste HTTPS-Anfrage, um anschließend einen bidirektionalen WebSocket-Kanal zu etablieren. Über diesen Kanal werden Kommandos empfangen und Daten ausgetauscht.
Ein weiterer Aspekt ist die Tarnung der Aktivitäten. Wie bereits erwähnt, kann die Schadsoftware zeitweise eine scheinbare Systemaktualisierung darstellen und gleichzeitig verdeckte Overlays verwenden. Dadurch fällt es Betroffenen schwerer, verdächtige Vorgänge im Hintergrund zu erkennen.
Zusätzliche Funktionen: Device-Administrator, Sperrbildschirm-Änderung und Geräteprofiling
Die neue Kampagnenlogik umfasst außerdem mehrere zusätzliche Fähigkeiten, die den Zugriff auf das Gerät vertiefen. Dazu gehört eine Aufforderung, mit der Opfer zur Vergabe von Device-Administrator-Rechten verleitet werden sollen.
Außerdem kann ToxicPanda den lokalen Lock-Screen-PIN oder das Passwort auf einen von Angreifern vorgegebenen Wert überschreiben. Damit kann die Malware die Kontrolle über den Zugriff auf das Gerät weiter festigen.
Schließlich wird ein Profiling der infizierten Geräte beschrieben. Ziel ist es, den OEM-Anbieter zu bestimmen, um danach passende Schritte einzuleiten. Beispielsweise soll die Schadsoftware mithilfe von Accessibility-Funktionen Wege finden, sich von Battery-Optimierungsregeln ausnehmen zu lassen. Das erhöht die Chance, dass die Malware im Hintergrund dauerhaft aktiv bleibt.
Veränderte Verteilung: Lieferung über Cloud-Infrastruktur
Ein weiterer Hinweis betrifft die Verteilung der ToxicPanda-2.0-Beispiele. In den Berichten wird eine Verschiebung hin zu neuen Lieferwegen genannt: Die Samples sollen über Amazon AWS-gehostete Buckets verteilt worden sein. Das deutet darauf hin, dass Angreifer gezielt Cloud-Infrastruktur für die Malware-Auslieferung nutzen.
GoldDigger: Neue Android-Kampagne mit Schwerpunkt Südafrika und UK
Neben ToxicPanda rückt eine weitere Android-Banking-Malware in den Fokus: GoldDigger. Die Familie wurde bereits im Oktober 2023 dokumentiert und ist für On-Device-Fraud bekannt. Zugeordnet wird die Entwicklung einem chinesischsprachigen Bedrohungsakteur namens GoldFactory, der mit weiteren Banking-Schadprogrammen in Verbindung gebracht wird.
In der aktuellen Kampagne liegt der Schwerpunkt laut Berichten auf Südafrika und dem Vereinigten Königreich. Die Angriffe sollen sich vor allem über Anwendungen ausbreiten, die sich als Fluggesellschaften oder Shopping-Anbieter ausgeben.
„dpt-shell“-Packen und Anti-Analyse-Techniken
Für GoldDigger wird ein Packersystem beschrieben, das unter dem Namen dpt-shell bekannt ist. Es dient dazu, Code und Ressourcen zu verschleiern, um Analysen zu erschweren.
Zudem werden mehrere Umgehungsmechanismen genannt: Native Logik kann verschlüsselt werden. Außerdem soll GoldDigger erkennen, ob Werkzeuge wie Frida am Prozess angebunden sind, und dann abstürzen. Auch externe Debugger werden abgeblockt, indem das Programm sich als „trace“-relevanten Zustand meldet, basierend auf dem PTRACE-Systemaufruf.
Wie GoldDigger Berechtigungen ausnutzt
Wer eine gefälschte App installiert, wird häufig dazu aufgefordert, Accessibility-Dienste zu erlauben. Diese Rechte werden anschließend für betrügerische Aktionen verwendet. GoldDigger kann Eingaben in Banking-Anwendungen nachahmen: Dazu zählen das Eintippen von Text, Betätigen von Schaltflächen und das Ausführen von Gesten.
Auf diese Weise kann die Malware betrügerische Transaktionen direkt aus der Banking-App heraus anstoßen. Darüber hinaus kann sie den Operator in Echtzeit mit Informationen vom Gerät versorgen, indem sie dem Angreifer Zugriff auf den Bildschirm ermöglicht und Credentials über fake overlays erfasst.
Außerdem wird beschrieben, dass GoldDigger einen gezielten App-Aufruf in einer virtuellen Umgebung starten kann. So erhält der Angreifer Einblick in das Laufzeitverhalten und kann sensible Eingaben gezielt abfangen.
C2-Funktionen bei GoldDigger: WebSocket, Rechte und Medienübertragung
Auch GoldDigger nutzt eine zentrale Kommunikation. Die Malware etabliert eine WebSocket-Verbindung, um Kommandos zu erhalten. Damit kann sie unter anderem Accessibility- und Standortberechtigungen anfordern, Eingaben aus beliebigen Apps über Accessibility-Dienste auslesen und Kontakte sowie SMS-Nachrichten sammeln.
Weiterhin werden das Aufzeichnen von Audio und Video sowie das Streaming über das RTMP-Protokoll an den C2-Server beschrieben. Zusätzlich kann die Schadsoftware definierte URLs öffnen und gezielt Apps starten, etwa den Google Play Store oder die Einstellungen.
So schützen Sie sich vor Android-Banking-Trojanern
Auch wenn die konkreten Details je Kampagne variieren, ähneln sich die Muster: verdächtige Apps, missbrauchte Berechtigungen und Overlay-basierter Datendiebstahl. Mit den folgenden Maßnahmen reduzieren Sie Ihr Risiko spürbar:
- Apps prüfen: Kontrollieren Sie installierte Anwendungen und entfernen Sie unbekannte oder verdächtige Programme.
- Berechtigungen auditieren: Überprüfen Sie App-Rechte, bevor Sie neue Zugriffe gewähren – besonders bei Accessibility.
- Nur aus vertrauenswürdigen Quellen installieren: Laden Sie Apps vorzugsweise nur aus offiziellen Stores und von bekannten Entwicklern.
- Software aktuell halten: Installieren Sie System- und Sicherheitsupdates, damit bekannte Schwachstellen geschlossen werden.
- Zwei-Faktor-Authentifizierung nutzen: Aktivieren Sie 2FA für alle wichtigen Konten.
- Bankkonten überwachen: Achten Sie auf ungewöhnliche Transaktionen oder neue Zahlungsvorgänge.
Fazit: Umfang und Tarnung nehmen bei Android-Banking-Trojanern zu
Die untersuchten Berichte zeigen, dass Android-Banking-Trojaner wie ToxicPanda 2.0 und GoldDigger weiterentwickelt werden – sowohl bei der technischen Leistungsfähigkeit als auch bei der Zielauswahl. ToxicPanda setzt stark auf Accessibility, Overlays, Sperrbildschirm-Manipulation und erweiterte Kommandos. GoldDigger kombiniert Anti-Analyse-Strategien mit Zugriffen, die es ermöglichen, Eingaben zu imitieren, Daten abzugreifen und den Angreifern Echtzeitinformationen zu liefern.
Wenn Sie Ihre App-Landschaft im Blick behalten, Berechtigungen kritisch hinterfragen und verdächtige Anzeichen ernst nehmen, verbessern Sie Ihre Chancen, solchen Angriffen rechtzeitig auszuweichen.
Quelle: https://thehackernews.com/2026/08/toxicpanda-20-and-golddigger-expand.html
