Android-Malware: ToxicPanda zielt auf 349 Apps und 140 Finanz-Dienste
Veröffentlicht am: 23.08.2026 um 18:43 Uhr | Redaktion boerse-global.de
Sicherheitsanalysten haben eine signifikante Weiterentwicklung der Android-Malware ToxicPanda identifiziert. In der nun entdeckten Version 2.0 nutzt die Schadsoftware gezielt VPN-Berechtigungen, um den Zugriff auf den Google Play Store auf infizierten Geräten zu blockieren.
Durch diese Taktik gelingt es den Angreifern, wichtige Sicherheitsfunktionen des Betriebssystems zu umgehen und die Installation von Sicherheitsupdates oder den Einsatz von Schutzprogrammen zu verhindern.
Technisches Vorgehen und Rechteausweitung
Die Experten von Zimperium weisen darauf hin, dass ToxicPanda 2.0 auf eine Kombination verschiedener Techniken setzt, um weitreichende Kontrolle über die betroffenen Smartphones zu erlangen.
Neben dem Missbrauch von VPN-Profilen nutzt die Malware den sogenannten Accessibility Service (Eingabehilfen) sowie Wireless ADB (Android Debug Bridge). Dieser kombinierte Ansatz dient der Privilege Escalation, also der Ausweitung von Nutzerrechten innerhalb des Systems.
Besonders kritisch bewerten IT-Sicherheitsexperten den Missbrauch von Wireless ADB, da dieser der Schadsoftware einen Shell-Zugriff ermöglicht. Über diese Schnittstelle können Befehle direkt auf Systemebene ausgeführt werden, ohne dass der Nutzer dies unmittelbar bemerkt oder autorisieren muss. Damit wird das Gerät für eine umfassende Fernsteuerung durch die Angreifer vorbereitet.
Millionen Deutsche nutzen täglich Online-Banking per Smartphone – ohne einen konsequenten Schutz gegen solche Malware-Angriffe ist das gefährlich. Dieser kostenlose Ratgeber zeigt Ihnen 5 einfache Maßnahmen, mit denen Sie Ihr Android-Gerät gegen Hacker und Datenmissbrauch absichern. 5 sofort umsetzbare Schutzmaßnahmen entdecken
Massive Ausweitung der Zielanwendungen
Im Vergleich zu früheren Versionen der Malware hat sich das Ausmaß der Bedrohung vervielfacht. Während ToxicPanda in der Vergangenheit lediglich auf 16 Anwendungen spezialisiert war, zielt die aktuelle Version 2.0 nun auf 349 verschiedene Apps ab.
Der Schwerpunkt liegt dabei deutlich auf dem Finanzsektor. Die Schadsoftware ist in der Lage, bei 140 dieser Anwendungen gezielt PIN-Eingaben abzugreifen, was das Risiko für Online-Banking-Betrug massiv erhöht.
Die Kampagne ist international breit aufgestellt und in insgesamt 16 Ländern aktiv. Zu den primären Zielen gehören Regionen wie Indien, Indonesien, Pakistan, Südafrika, Mexiko, Nigeria und Panama.
Wer sich vor der Manipulation von Finanz-Apps schützen möchte, sollte die Sicherheitslücken seines Geräts proaktiv schließen. Experten erklären in diesem Gratis-PDF, wie Sie durch die richtigen Updates und Einstellungen Malware dauerhaft verhindern. 5 einfache Schritte für ein sicheres Android-Smartphone
Um diese geografische Verteilung zu steuern und die infizierten Geräte zu verwalten, verfügt ToxicPanda 2.0 über ein Repertoire von 167 Remote-Befehlen. Diese erlauben es den Hintermännern, individuell auf die infizierten Systeme zuzugreifen und Daten in Echtzeit zu manipulieren oder zu extrahieren.
Infrastruktur und Verteilung
Bei der Analyse der Verteilungswege stellten Sicherheitsforscher fest, dass die Angreifer für das Hosting der bösartigen Komponenten auf Cloud-Infrastrukturen zurückgreifen. Die Verteilung erfolgt maßgeblich über AWS-Buckets (Amazon Web Services).
Diese Wahl der Infrastruktur deutet auf eine professionalisierte Vorgehensweise hin, um eine hohe Verfügbarkeit der Malware-Payloads sicherzustellen und gleichzeitig herkömmliche Filtermechanismen zu erschweren.
Die Kombination aus der Blockade des offiziellen App-Stores und der gleichzeitigen Ausnutzung von Fernsteuerungsschnittstellen macht ToxicPanda 2.0 zu einer komplexen Bedrohung für Android-Nutzer.
Da die Malware aktiv versucht, Sicherheitsmechanismen wie den Google Play Store auszuschalten, wird die Erkennung und Bereinigung betroffener Geräte für Endanwender erheblich erschwert. Experten raten daher zur besonderen Vorsicht bei der Vergabe von Berechtigungen für VPN-Dienste und Eingabehilfen, insbesondere wenn diese von unbekannten Quellen angefordert werden.
