ToxicPanda 2.0 pede permissão de VPN para calar o Google Play

A permissão de VPN no Android nunca foi pensada como controle de segurança. Ela existe para que aplicativos legítimos consigam encaminhar tráfego. O que a Zimperium documentou é o uso dessa mesma API para a finalidade oposta: em vez de proteger a conexão, o ToxicPanda a usa para decidir o que sai do aparelho e o que não sai.

O alvo escolhido diz muito. O malware não bloqueia a internet inteira, o que denunciaria a infecção na hora. Ele bloqueia especificamente Google Play e Play Services. Isso derruba a verificação de aplicativos, as atualizações e a telemetria do Play Protect, incluindo as ações remotas que o Google usa para remover aplicativo malicioso de aparelho já infectado. O telefone continua funcionando normalmente para o usuário. Só perdeu a linha direta com quem poderia removê-lo.

ADB sem fio: o pulo do gato

A parte mais desconfortável da análise é a automação do Android Debug Bridge. O ADB é a ferramenta de linha de comando que desenvolvedores usam para executar comandos no aparelho. Desde o Android 11 ele funciona por Wi-Fi, sem cabo, com pareamento por código de seis dígitos.

Usando a permissão de acessibilidade, o ToxicPanda faz a sequência inteira sozinho: entra nas opções de desenvolvedor, ativa a depuração sem fio, lê na tela o código de pareamento e a porta, e conecta no serviço ADB do próprio aparelho. O resultado é o malware falando com o telefone como se fosse um desenvolvedor com o cabo na mão.

Com permissão de shell, ele deixa de depender das caixas de diálogo do Android. Concede a si mesmo permissões amplas sem perguntar, desliga as restrições de processo em segundo plano, habilita componentes em silêncio e garante persistência. É o mesmo mecanismo que o Group-IB descreveu recentemente no RedHook, o que sugere que a técnica saiu da fase de experimento e virou padrão entre famílias de malware para Android.

Persistência negociada com o fabricante

Existe um comando chamado autoBoot que identifica o fabricante do aparelho e abre a tela específica de inicialização automática ou gerenciamento de energia daquela marca. Xiaomi, OPPO, Vivo, Samsung e Huawei mantêm otimizações agressivas de bateria que matam processo em segundo plano. O malware navega até a configuração de cada uma e se declara exceção.

Vale registrar o que isso significa: proteções criadas para durar mais tempo com a bateria viraram, na prática, um controle de segurança acidental contra malware persistente. E o operador do ToxicPanda escreveu código específico para contorná-las marca por marca.

Sobreposição invisível e captura de PIN

As telas falsas de phishing cobrem 349 aplicativos de bancos, finanças, criptomoedas e carteiras digitais em 16 países. Segundo os pesquisadores, as sobreposições são invisíveis para a vítima e servem para capturar o toque na tela dos aplicativos alvo. Há ainda um módulo separado de coleta de PIN que mira 140 aplicativos financeiros e de criptomoedas, com lista de alvos atualizável remotamente.

O trojan também imita a tela de bloqueio do Android para capturar PIN, padrão de desbloqueio e senha. Algumas amostras usam telas falsas de atualização do sistema para esconder atividade em andamento, aquele aviso de "não desligue o aparelho" que compra alguns minutos de silêncio.

Números da versão 2.0

Indicador	Valor
Aplicativos com sobreposição de phishing	349 (bancos, finanças, cripto e carteiras digitais)
Países alcançados pela lista de alvos	16
Comandos remotos suportados	167
Aplicativos no módulo de captura de PIN	140, com lista atualizável remotamente
Distribuição	Buckets hospedados na Amazon Web Services
Indicadores de comprometimento	Publicados pela Zimperium em repositório público no GitHub

Leitura LATAMSEC

O ToxicPanda não é novo por aqui, e esse é justamente o ponto. A região convive há anos com Grandoreiro e seus derivados, que voltaram a aparecer neste mês em campanha contra o México. O que muda na versão 2.0 não é o alvo, é o grau de controle sobre o aparelho. Um trojan que sequestra a pilha de rede e obtém shell via ADB não está mais competindo com o antivírus do telefone. Está operando em uma camada abaixo dele.

Para quem responde por fraude em banco, fintech ou meio de pagamento na América Latina, há uma consequência direta na modelagem de risco. Sinais de integridade do aparelho que dependem do Play Integrity ou de comunicação com o Play Services perdem confiabilidade justamente nos aparelhos comprometidos, porque é exatamente esse canal que o malware corta primeiro. Ausência de sinal deixa de ser ruído e passa a ser sinal.

Duas perguntas que valem para a próxima revisão de controles antifraude. A primeira: o aplicativo trata "não consegui falar com o Play Services" como falha silenciosa ou como evento de risco? A segunda: existe detecção de depuração sem fio ativa no dispositivo durante a sessão? A opção de desenvolvedor ligada em aparelho de correntista comum não é conclusiva sozinha, mas combinada com serviço de acessibilidade ativo e VPN local não solicitada, forma um conjunto difícil de explicar por uso legítimo.

Do lado corporativo, a recomendação é menos glamourosa e mais eficaz: política de MDM que bloqueie instalação fora da loja oficial e alerte sobre ativação de depuração sem fio. A cadeia inteira descrita pela Zimperium depende de a vítima conceder acessibilidade a um aplicativo que veio de fora da loja. Esse continua sendo o único degrau que exige o dedo do usuário.