ToxicPanda 2.0 probio novu granicu na Androidu: Meta su novac, PIN-ovi i podaci za pristup
Nova verzija Android malvera ToxicPanda donosi znatno širi skup mogućnosti za kontrolu zaraženih uređaja. Istraživači kompanije Zimperium identifikovali su verziju koju su nazvali ToxicPanda 2.0, a koja može da manipuliše mrežnim saobraćajem, menja ponašanje sistema i koristi ugrađene Android funkcije kako bi ostala aktivna na telefonu.
Za razliku od običnog malvera koji se fokusira na jednu vrstu podataka, ToxicPanda je prvenstveno usmeren na finansijske informacije. Nova verzija može da cilja 349 bankarskih, finansijskih, kripto i aplikacija za elektronsko plaćanje u 16 zemalja, dok napadač ima na raspolaganju čak 167 različitih komandi za daljinsko upravljanje zaraženim uređajem.
Malver pokušava da oslabi Android zaštitu
Jedan od važnijih dodataka u novoj verziji jeste mogućnost zloupotrebe Android VPN servisa. Kada dobije odgovarajuću dozvolu, ToxicPanda može da postavi lokalni VPN preko kojeg kontroliše deo mrežne komunikacije telefona. Među ostalim, može da ometa komunikaciju sa Google Play prodavnicom i Google Play Services, čime pokušava da oteža pojedine provere i zaštitne mehanizme sistema.
Istraživači su utvrdili i da malver pokušava da dobije pristup Accessibility Service-u, Android funkciji koja aplikacijama daje široke mogućnosti interakcije sa sadržajem na ekranu. ToxicPanda taj pristup koristi kao dodatni način kontrole nad uređajem, dok se za distribuciju njegove nove verzije, prema navodima Zimperiuma, koristi Amazonova AWS infrastruktura.
Iskorišćava i funkcije namenjene programerima
Posebno je značajna mogućnost zloupotrebe Wireless Debugging funkcije. Ona je namenjena programerima i omogućava komunikaciju sa Android uređajem preko Wi-Fi mreže, bez potrebe za USB kablom. Problem nastaje kada malver uspe da je zloupotrebi, jer tada može da dođe do dodatnih mogućnosti upravljanja uređajem koje obična aplikacija inače nema.
Prema istraživačima, ToxicPanda pokušava da iskoristi Accessibility pristup kako bi promenio određena podešavanja telefona i aktivirao Wireless Debugging, nakon čega može da komunicira sa ADB servisom. Takav pristup napadaču daje više prostora za menjanje ponašanja uređaja, uključujući zaobilaženje pojedinih ograničenja Androida, aktiviranje potrebnih komponenti i otežavanje uklanjanja malvera.
ToxicPanda pokušava da ostane na telefonu
Malver se ne oslanja samo na početnu infekciju, već pokušava i da obezbedi dugotrajniji rad na uređaju. Jedna od funkcija namenjena je izbegavanju ograničenja koja Android i proizvođači telefona koriste kako bi smanjili potrošnju baterije i automatski zaustavili aplikacije koje rade u pozadini.
Zimperium navodi da ToxicPanda u tom delu prepoznaje proizvođača uređaja i prilagođava ponašanje odgovarajućim sistemskim podešavanjima. Podržani su uređaji kompanija Xiaomi, OPPO, Vivo, Samsung i Huawei. To pokazuje da nova verzija nije napravljena kao potpuno generička pretnja, već pokušava da se prilagodi razlikama između Android telefona različitih proizvođača.
Sada može mnogo više od krađe podataka
Najveće proširenje ipak se vidi u broju aplikacija koje ToxicPanda može da cilja. Nova verzija koristi lažne ekrane koji se mogu pojaviti preko 349 finansijskih aplikacija, uključujući bankarske, kripto i e-wallet aplikacije. Na taj način malver pokušava da korisnika navede da svoje podatke unese u ekran koji izgleda kao deo aplikacije koju već koristi.
Postoji i poseban modul usmeren na PIN-ove, koji obuhvata 140 finansijskih i kripto aplikacija. ToxicPanda može da prikaže i lažni ekran za zaključavanje telefona kako bi pokušao da prikupi PIN, šablon ili lozinku, dok su u nekim analiziranim uzorcima pronađeni i lažni ekrani za ažuriranje sistema. Istraživači upozoravaju da se spisak meta može naknadno menjati, a da se zloupotreba Wireless ADB-a sve češće pojavljuje u Android malveru, uključujući i noviju verziju RedHooka.
Zabranjeno preuzimanje dela ili čitavog teksta i/ili foto/videa, bez navođenja i linkovanja izvora i autora, a u skladu sa odredbama WMG uslova korišćenja i Zakonom o javnom informisanju i medijima.
