Onderzoekers hebben Android-malware aangetroffen die slachtoffers om vpn-permissies vraagt voor het blokkeren van netwerkverkeer van Google Play en Google Play Services op de besmette telefoon. Dit moet detectie en het stoppen van verdere acties van de malware voorkomen. Dat meldt cybersecuritybedrijf Zimperium. De malware in kwestie wordt ToxicPanda genoemd en is een banking Trojan die allerlei gegevens voor het plegen van bankfraude steelt.

Voor het plaatsen van overlays en stelen van invoer van gebruikers, zoals wachtwoorden en creditcardgegevens, maakt de malware gebruik van de Android Accessibility Service. Via deze service kan er allerlei informatie die op het scherm verschijnt worden verzamelt en is het mogelijk om allerlei acties uit te voeren. Google Play monitort welke apps deze permissie gebruiken of vragen. Zodra het slachtoffer de vpn-permissie heeft gegeven vraagt de malware om de accessibility-permissie. Vervolgens kijkt de malware welke cryptowallets en bank-apps het slachtoffer heeft geïnstalleerd, zodat het de juiste overlays kan laden.

De phishing-overlays verschijnen boven de officiële bank- of wallet-app die de gebruiker heeft geopend en vragen het slachtoffer om allerlei informatie. Ingevulde wachtwoorden en andere gegevens worden dan naar de aanvaller gestuurd die ermee kan frauderen. Ook probeert de malware het patroon, pincode of wachtwoord te stelen waarmee de gebruiker zijn telefoon ontgrendelt. Met deze informatie kunnen aanvallers toegang tot de telefoon behouden, ook als die versleuteld is, aldus de onderzoekers. Hoe de malware precies wordt verspreid laat Zimperium niet weten.