ToxicPanda 2.0 ataca a Android. Roba PIN y datos bancarios

El equipo de zLabs detectó la variante TóxicoPanda 2.0que ya tiene 167 comandos remotos. La magnitud del ataque claramente ha aumentado. El malware puede mostrar pantallas de inicio de sesión y transacciones falsas. para 349 aplicaciones bancarias, financieras, de billetera electrónica y de criptomonedas en 16 países. La versión anterior era mucho más limitada e incluía 16 aplicaciones bancarias.

Explotaciones de ToxicPanda Función de accesibilidad en Android. Gracias a él, puede leer elementos visibles en la pantalla y realizar determinadas acciones de forma automática. Cuando un usuario ejecuta una aplicación que está en la lista de objetivos, el troyano puede superponer su propia pantalla. Parece una interfaz bancaria real, por lo que los datos ingresados ​​van a parar a los delincuentes.

Es importante destacar que la lista de objetivos no tiene por qué ser permanente. Los atacantes pueden cambiar la configuración de forma remota señalando aplicaciones posteriores cuyos datos deben ser capturados. El malware también puede grabar toques en la pantalla mientras se utilizan aplicaciones financieras.

ToxicPanda 2.0 también tiene una función que te permite usarlo Depuración inalámbrica de Android. El malware habilita automáticamente las opciones de desarrollador, activa la depuración inalámbrica y lee el código de seis dígitos necesario para conectarse. Luego utiliza el motor ADB para obtener acceder al shell del sistema y ejecutar comandos adicionales.

Esto abre el camino a más abusos. Entre otras cosas, el troyano puede intentar date permisos, desactivar las restricciones del sistema y mantenlo ejecutándose en segundo plano. También puede intentar conseguir permisos de administrador del dispositivo.

La posibilidad es particularmente preocupante. robando el código de desbloqueo de tu teléfono. ToxicPanda puede mostrar una pantalla de bloqueo de Android falsa y así intentar robar su PIN, patrón o contraseña. En algunas muestras el malware también muestra una supuesta pantalla de actualización del sistema que se supone que oculta las actividades en segundo plano.

ToxicPanda 2.0 también se entrega utilizando infraestructura AmazonAWS. Después de la instalación, el malware se conecta al servidor de los delincuentes y puede recibir más pedidos. La comunicación tiene lugar a través de HTTPSy luego conexión WebSocket persistente.

Este es otro ejemplo de malware que, en lugar de limitarse a robar datos de una aplicación concreta, intenta tomar el mayor control posible sobre todo el teléfono. ToxicPanda 2.0 también puede adaptar su funcionamiento a los diferentes fabricantes de Android, evitando sus mecanismos que limitan el funcionamiento de las aplicaciones en segundo plano.