ToxicPanda 2.0 atacă telefoanele Android și poate bloca Google Play. Cum funcționează malware-ul

Un malware Android cunoscut sub numele ToxicPanda a primit funcții noi care îi permit să preia un control mult mai mare asupra telefoanelor infectate. Cea mai recentă versiune, ToxicPanda 2.0, poate interveni asupra traficului de internet, poate împiedica accesul la Google Play și Google Play Services și poate folosi mecanisme ale sistemului Android pentru a-și păstra accesul pe dispozitiv, scrie Bleeping Computer.

Cercetătorii companiei de securitate Zimperium au descoperit că malware-ul și-a extins considerabil aria de atac. Noua variantă poate viza 349 de aplicații și dispune de 167 de comenzi care pot fi transmise de la distanță, cu accent pe aplicații bancare, servicii financiare, portofele digitale și platforme de criptomonede din 16 țări.

ToxicPanda folosește permisiunea VPN pentru a bloca Google Play

Una dintre cele mai importante schimbări este folosirea permisiunii pentru serviciul VPN al Android. ToxicPanda poate crea o interfață locală prin care își controlează traficul de rețea, ceea ce îi permite să oprească anumite comunicații înainte ca acestea să ajungă la destinație.

Printre țintele acestei funcții se află Google Play și Google Play Services. Blocarea lor poate împiedica o serie de verificări și operațiuni de securitate, inclusiv verificarea aplicațiilor, actualizările și comunicarea cu Play Protect. Practic, malware-ul încearcă să reducă șansele ca mecanismele integrate în Android să detecteze sau să limiteze activitatea sa.

După ce obține accesul la serviciul VPN, ToxicPanda poate bloca aceste comunicații înainte de a-și extrage și instala componentele malițioase. Ulterior, încearcă să obțină și acces la Accessibility Services, o componentă Android care poate fi exploatată pentru automatizarea unor acțiuni pe telefon.

Malware-ul poate imita ecranul de blocare și aplicațiile bancare

ToxicPanda 2.0 nu se limitează la controlul conexiunii. Malware-ul include mecanisme prin care poate afișa suprapuneri peste aplicațiile vizate, inclusiv aplicații bancare, financiare, de criptomonede și portofele electronice. Lista analizată de cercetători cuprinde 349 de aplicații, iar o componentă separată este destinată colectării codurilor PIN de la 140 de aplicații financiare și crypto.

Un aspect deosebit de periculos este faptul că aceste suprapuneri pot fi ascunse victimei. În acest fel, malware-ul poate intercepta interacțiunile tactile în timp ce pare că folosești în mod normal aplicația de pe telefon.

Vezi și:

Portița din Google Play care a lăsat mii de aplicații înșelătoare să ajungă la utilizatori. Unele promiteau bani și premii

Google schimbă regulile pentru aplicațiile Android: consum mai mic de memorie și autentificare automată din 2027

ToxicPanda poate, de asemenea, să imite ecranul de blocare Android pentru a obține coduri PIN, modele de deblocare și parole. În unele dintre mostrele analizate au fost descoperite inclusiv ecrane false care pretind că telefonul instalează o actualizare de sistem. În realitate, interfața respectivă poate ascunde activitatea desfășurată de malware în fundal.

ToxicPanda poate folosi ADB pentru a obține acces mai extins

Una dintre funcțiile care atrag cel mai mult atenția în această versiune este exploatarea Android Debug Bridge, cunoscut sub numele de ADB. Este un instrument destinat în mod normal dezvoltatorilor și permite executarea unor comenzi pe dispozitive Android.

ToxicPanda poate folosi Accessibility Services pentru a activa anumite opțiuni din meniul pentru dezvoltatori, apoi pornește Wireless Debugging. Prin acest mecanism, malware-ul poate obține codul de asociere ADB format din șase cifre și portul necesar pentru conectarea la serviciul local ADB al telefonului.

Odată obținut accesul la shell, malware-ul poate executa comenzi cu un nivel mai mare de control decât cel oferit de permisiunile obișnuite ale unei aplicații Android. Cercetătorii spun că acest mecanism poate fi folosit pentru acordarea unor permisiuni fără confirmările standard, dezactivarea unor restricții ale sistemului și activarea în mod discret a unor componente.

În plus, ToxicPanda are o comandă numită „autoBoot”, care identifică producătorul telefonului și deschide setările specifice de pornire automată sau de administrare a consumului. Scopul este să împiedice sistemul să închidă procesele malware care rulează în fundal pentru a economisi bateria. Mecanismul a fost observat pe dispozitive Xiaomi, OPPO, Vivo, Samsung și Huawei.

Noua variantă ToxicPanda este mai greu de ignorat

Zimperium spune că ToxicPanda 2.0 este distribuit prin infrastructură găzduită în Amazon AWS, iar combinația dintre furtul de date, suprapunerile false, controlul traficului și abuzul de ADB transformă malware-ul într-o amenințare mult mai complexă pentru telefoanele Android.

Faptul că malware-ul poate bloca serviciile Google, poate afișa interfețe false și poate încerca să obțină acces extins la sistem arată cât de important este să fii atent la aplicațiile instalate și la permisiunile pe care le acordă. Un mesaj care îți cere să activezi o funcție de accesibilitate sau să modifici setările pentru dezvoltatori merită tratat cu multă atenție, mai ales dacă solicitarea apare în afara unui context în care ai avea nevoie de aceste opțiuni.

Cercetătorii au publicat și indicatorii de compromitere asociați cu cea mai nouă versiune ToxicPanda, astfel încât acestea pot fi folosite pentru identificarea dispozitivelor afectate și pentru analiza incidentelor.

„Baywatch” revine în 2027 cu o nouă generație de salvamari. Cine îi înlocuiește pe Pamela Anderson și David Hasselhoff VIDEO