ToxicPanda wraca w znacznie groźniejszej wersji. Nowa odmiana trojana bankowego na Androida potrafi przechwytywać PIN-y i dane logowania do aplikacji finansowych, podszywać się pod ekran blokady telefonu, a nawet wykorzystać uprawnienia VPN do odcięcia komunikacji z Google Play. ToxicPanda 2.0 obsługuje już 167 zdalnych poleceń, a jego operatorzy przygotowali mechanizmy phishingowe wymierzone w setki aplikacji bankowych, finansowych i kryptowalutowych.
ToxicPanda 2.0 to znacznie groźniejsza wersja trojana na Androida
Badacze Zimperium z zespołu zLabs opisali nową odsłonę ToxicPanda, trojana bankowego znanego już z wcześniejszych kampanii wymierzonych w użytkowników Androida. Najnowsza wersja została mocno rozbudowana i nie ogranicza się już wyłącznie do przechwytywania danych logowania. Malware może stopniowo zdobywać kolejne uprawnienia, monitorować działające aplikacje, ingerować w ruch sieciowy urządzenia i wykonywać polecenia przesyłane przez operatorów ataku.
Według analizy ToxicPanda 2.0 obsługuje obecnie aż 167 zdalnych poleceń, co daje cyberprzestępcom szerokie możliwości kontroli nad zainfekowanym smartfonem. Rozbudowano również listę potencjalnych celów. Badacze wykryli mechanizmy phishingowe przygotowane dla 349 aplikacji bankowych, finansowych i kryptowalutowych działających w 16 krajach, a osobny moduł odpowiedzialny za przechwytywanie kodów PIN obejmuje ponad 140 aplikacji.
Malware może odciąć Google Play i usługi Google
Jedną z najbardziej nietypowych funkcji ToxicPanda 2.0 jest wykorzystanie mechanizmu VPN dostępnego w Androidzie. Podczas instalacji złośliwa aplikacja może poprosić użytkownika o zgodę na utworzenie połączenia VPN, a po jej uzyskaniu tworzy lokalny interfejs pozwalający kontrolować część ruchu sieciowego urządzenia. Nie służy on jednak do ochrony prywatności, lecz do ingerowania w komunikację smartfona.
W ten sposób malware może blokować połączenia Google Play oraz Google Play Services, utrudniając komunikację urządzenia z usługami Google. Nie oznacza to fizycznego usunięcia Sklepu Play z telefonu, ale może ograniczyć działanie mechanizmów związanych z weryfikacją aplikacji, aktualizacjami czy usługami ochronnymi. Dopiero po przygotowaniu takiego środowiska ToxicPanda uruchamia kolejne moduły i próbuje uzyskać dostęp do szczególnie wrażliwych funkcji Androida.
ToxicPanda 2.0 kradnie PIN-y do aplikacji bankowych
Trojan stale monitoruje, jaka aplikacja znajduje się na pierwszym planie. Jeżeli wykryje program znajdujący się na liście celów, może uruchomić przygotowany wcześniej mechanizm przechwytywania danych. Lista ta może być aktualizowana zdalnie przez operatorów malware, dzięki czemu cyberprzestępcy nie muszą każdorazowo przygotowywać i rozpowszechniać nowej wersji złośliwej aplikacji.
ToxicPanda wykorzystuje zarówno niewidoczne nakładki pozwalające analizować działania użytkownika, jak i klasyczne fałszywe ekrany logowania lub autoryzacji przypominające interfejs prawdziwego banku czy portfela kryptowalutowego. Użytkownik może więc wpisać login, hasło lub PIN, będąc przekonanym, że korzysta z oryginalnej aplikacji. Wprowadzone dane są następnie przechwytywane przez malware i mogą zostać przesłane do infrastruktury kontrolowanej przez cyberprzestępców.
Trojan potrafi również ukraść kod blokady telefonu
ToxicPanda 2.0 nie ogranicza się do danych bankowych. Malware może również wyświetlić fałszywy systemowy ekran blokady Androida, który wizualnie przypomina normalny interfejs smartfona. Użytkownik może więc sądzić, że urządzenie zostało zwyczajnie zablokowane i wpisać swój PIN, hasło albo wzór odblokowania. W rzeczywistości podane informacje zostają przechwycone przez złośliwe oprogramowanie.
Uzyskanie kodu blokady telefonu jest szczególnie niebezpieczne, ponieważ może znacząco ułatwić dalsze przejmowanie urządzenia i obchodzenie kolejnych zabezpieczeń. W części analizowanych próbek ToxicPanda wyświetla również fałszywy ekran aktualizacji systemu, który zasłania działania wykonywane przez malware w tle. Użytkownik widzi pozornie normalny proces aktualizacji Androida, podczas gdy trojan może w tym czasie uzyskiwać dodatkowe uprawnienia lub przygotowywać kolejne etapy ataku.
ToxicPanda potrafi włączyć tryb programisty i Wireless Debugging
Jeszcze bardziej zaawansowany mechanizm wykorzystuje Android Debug Bridge, czyli ADB. To standardowe narzędzie stworzone przede wszystkim z myślą o programistach, które pozwala komunikować się ze smartfonem i wykonywać na nim polecenia systemowe. Od Androida 11 ADB może działać również bezprzewodowo za pośrednictwem funkcji Wireless Debugging.
ToxicPanda 2.0 próbuje wykorzystać właśnie tę możliwość. Za pomocą uprawnień usług ułatwień dostępu malware może samodzielnie przejść do ustawień systemowych, odnaleźć numer kompilacji i zasymulować serię kliknięć potrzebnych do aktywowania Opcji programisty. Następnie może otworzyć ustawienia Wireless Debugging, uruchomić tryb parowania, odczytać sześciocyfrowy kod generowany przez Androida i zestawić lokalne połączenie ADB.
Po uzyskaniu takiego dostępu trojan może wykonywać polecenia z większymi uprawnieniami, przyznawać sobie kolejne zgody oraz zmieniać ustawienia systemowe utrudniające jego usunięcie. To pokazuje, jak daleko współczesne malware może posunąć się bez konieczności wykorzystywania klasycznej podatności pozwalającej bezpośrednio przejąć cały system.
Malware wykorzystuje legalne funkcje Androida
ToxicPanda 2.0 jest dobrym przykładem zmieniającego się sposobu działania złośliwego oprogramowania na smartfonach. Wiele jego funkcji nie bazuje na jednej spektakularnej luce bezpieczeństwa Androida. Zamiast tego malware nadużywa istniejących i całkowicie legalnych mechanizmów systemowych, takich jak VPN, Accessibility Services, Wireless Debugging czy Opcje programisty.
Kluczowym momentem ataku pozostaje więc uzyskanie odpowiednich zgód od użytkownika. Jeżeli nieznana aplikacja prosi jednocześnie o dostęp do usług ułatwień dostępu, możliwość utworzenia VPN, zmianę ustawień systemowych czy prawa administratora urządzenia, powinno to być traktowane jako poważny sygnał ostrzegawczy. ToxicPanda została dodatkowo przystosowana do różnych wersji Androida instalowanych przez producentów smartfonów i potrafi odnajdywać właściwe ustawienia m.in. na urządzeniach Samsunga, Xiaomi, OPPO, Vivo czy Huawei.
ToxicPanda 2.0 wykorzystuje także legalną infrastrukturę chmurową
Badacze Zimperium wykryli próbki ToxicPanda 2.0 dostarczane za pośrednictwem zasobów hostowanych w Amazon Web Services. Nie oznacza to oczywiście żadnego związku Amazona z kampanią. Cyberprzestępcy od dawna wykorzystują popularne i legalne usługi chmurowe do przechowywania oraz dystrybucji złośliwych plików, ponieważ taka infrastruktura może początkowo wyglądać bardziej wiarygodnie niż przypadkowy serwer.
Analiza nie wskazuje również, aby ToxicPanda 2.0 była obecnie masowo rozpowszechniana bezpośrednio przez Google Play. Największe ryzyko wiąże się z instalowaniem aplikacji z niezweryfikowanych źródeł, plików APK przesyłanych w wiadomościach czy programów pobieranych z przypadkowych stron internetowych. Szczególnej ostrożności wymagają aplikacje, które tuż po instalacji domagają się dostępu do bardzo szerokiego zestawu uprawnień systemowych.
ToxicPanda 2.0 pokazuje, jak zaawansowane stają się trojany bankowe
Nowa wersja ToxicPanda znacząco wykracza poza klasyczny model trojana bankowego wyświetlającego fałszywy formularz logowania. 167 zdalnych poleceń, mechanizmy phishingowe przygotowane dla 349 aplikacji, przechwytywanie PIN-ów, fałszywy ekran blokady, kontrolowanie ruchu za pomocą VPN oraz próby automatycznego uruchamiania Wireless Debugging sprawiają, że malware staje się rozbudowanym narzędziem pozwalającym stopniowo przejmować coraz większą kontrolę nad urządzeniem.
Dla użytkowników Androida najważniejsze pozostają podstawowe zasady bezpieczeństwa: instalowanie aplikacji wyłącznie z zaufanych źródeł, unikanie plików APK przesyłanych przez wiadomości i reklamy oraz dokładne sprawdzanie żądanych uprawnień. Szczególną ostrożność powinny wzbudzać programy proszące o dostęp do Accessibility Services, utworzenie profilu VPN albo zmianę zaawansowanych ustawień systemowych. W przypadku ToxicPanda właśnie te zgody otwierają drogę do kolejnych etapów ataku.
Źródło: Zimperium zLabs, analiza ToxicPanda 2.0.
Dziękujemy za przeczytanie artykułu na Techoteka.pl.
Publikujemy codziennie informacje o sztucznej inteligencji, nowych technologiach, IT oraz rozwoju agentów AI.
Obserwuj nas na Facebooku, aby nie przegapić kolejnych artykułów.
