Malware Android ToxicPanda Berevolusi, Manfaatkan Izin VPN untuk Blokir Google Play
Malware perbankan Android berbahaya, ToxicPanda, dilaporkan telah berevolusi dengan kemampuan teknis baru yang jauh lebih agresif. Versi terbaru bertajuk ToxicPanda 2.0 ini memperluas target serangannya ke 349 aplikasi perbankan, dompet digital, dan platform kripto, serta dibekali dukungan untuk mengeksekusi hingga 167 perintah kendali jarak jauh.
Salah satu peningkatan paling signifikan terletak pada penyalahgunaan izin layanan Virtual Private Network (VPN). Malware ini meminta izin layanan VPN untuk menciptakan antarmuka jaringan lokal (local interface) pada perangkat korban. Melalui kontrol pada level jaringan ini, ToxicPanda mampu mencegat serta memblokir seluruh lalu lintas data antara perangkat dengan Google Play dan Google Play Services.
Taktik pemblokiran jaringan ini secara efektif melumpuhkan berbagai mekanisme verifikasi keamanan penting pada sistem operasi Android, termasuk pembaruan keamanan otomatis, komunikasi Play Protect, hingga fitur mitigasi ancaman bawaan. Setelah memutus koneksi perangkat ke server Google Play, ToxicPanda mengekstrak dan memasang modul payload berbahaya sebelum kemudian meminta izin Accessibility Services.
Eksploitasi Wireless ADB dan Penetrasi Shell
Berdasarkan analisis yang dipublikasikan oleh firma keamanan seluler Zimperium, varian ToxicPanda 2.0 didistribusikan melalui bucket cloud di infrastruktur Amazon Web Services (AWS). Malware ini mengintegrasikan mekanisme otomatisasi baru yang menyalahgunakan Android Debug Bridge (ADB) secara nirkabel (Wireless Debugging) untuk meraih hak akses setingkat shell.
Dengan memanfaatkan izin Accessibility Services, ToxicPanda secara otomatis mengaktifkan Developer Options (Opsi Pengembang), menyalakan fitur Wireless Debugging, mengekstrak kode pairing 6 digit beserta port dinamisnya, lalu menghubungkan perangkat ke layanan ADB lokal. Begitu hak istimewa shell diperoleh melalui daemon ADB, malware dapat mengeksekusi berbagai perintah tingkat tinggi secara langsung. Langkah ini memungkinkannya melewati jendela persetujuan izin standar Android (runtime consent), menetralkan batasan proses latar belakang, dan mengunci persistensi malware di sistem operasi.
Pencurian PIN dan Manipulasi Layar
ToxicPanda 2.0 menyasar ratusan aplikasi perbankan dan finansial di 16 negara dengan memanfaatkan teknik phishing overlay transparan. Layar palsu ini tidak kasat mata oleh korban, memungkinkan malware merekam setiap input sentuhan saat pengguna membuka aplikasi finansial target. Terdapat pula modul panen PIN khusus yang menargetkan 140 aplikasi finansial dan dompet kripto dengan daftar target yang dapat diperbarui secara dinamis dari jarak jauh.
Selain mencuri data finansial, malware ini dapat memalsukan tampilan layar kunci (lock screen) Android untuk menggasak PIN, pola, dan kata sandi perangkat. Untuk mengelabui pengguna selama proses eksploitasi berlangsung, ToxicPanda kerap memunculkan layar pembaruan sistem palsu (fake system update).
Malware ini juga dilengkapi perintah khusus bernama autoBoot yang bertugas mengenali pabrikan perangkat korban—seperti Samsung, Xiaomi, OPPO, Vivo, dan Huawei—lalu menyesuaikan konfigurasi manajemen daya bawaan OEM. Taktik ini memungkinkan ToxicPanda lolos dari fitur penghemat baterai agresif yang biasanya mematikan proses latar belakang yang mencurigakan. Penyalahgunaan Wireless ADB sendiri diproyeksikan terus menjadi tren baru di kalangan pengembang malware Android modern untuk meruntuhkan proteksi sistem operasi secara senyap.
Sumber: Riset Keamanan Zimperium zLabs
