Badacze bezpieczeństwa wykryli znacznie ulepszoną wersję trojana bankowego ToxicPanda na system Android, co pokazuje, jak złośliwe oprogramowanie mobilne ewoluuje od prostej kradzieży danych uwierzytelniających do pełnego przejęcia urządzenia i oszustw wykonywanych bezpośrednio na zainfekowanym telefonie.
Nowy wariant, śledzony jako ToxicPanda 2.0, został opisany przez Zimperium zLabs. Zgodnie z komunikatem dotyczącym badania złośliwe oprogramowanie obsługuje teraz 167 poleceń zdalnych, rozszerza kradzież danych uwierzytelniających na 349 aplikacji bankowych, finansowych, e-portfeli i kryptowalutowych w 16 krajach, a także zyskało nowe funkcje, które mają zapewnić długotrwałą kontrolę nad zainfekowanymi urządzeniami z Androidem.
Co się stało
ToxicPanda nie jest zupełnie nową rodziną złośliwego oprogramowania. Wcześniej został opisany jako trojan bankowy na Androida powiązany z szerszą linią TgToxic, a wcześniejsze kampanie były wymierzone w użytkowników bankowości w Europie i Ameryce Łacińskiej. Z wcześniejszych badań firmy Cleafy wynika, że ToxicPanda służył do przejmowania kont i oszustw na urządzeniu (on-device fraud), co pozwalało atakującym działać bezpośrednio z zainfekowanego telefonu, a nie tylko kraść dane logowania.
Zaktualizowany wariant ToxicPanda 2.0 oznacza duży skok zarówno pod względem skali, jak i możliwości. Zimperium podaje, że złośliwe oprogramowanie atakuje obecnie setki aplikacji finansowych, w tym banki, e-portfele i platformy kryptowalutowe, a jednocześnie wprowadza bardziej zaawansowane funkcje automatyzacji i kontroli.
Jedną z najważniejszych nowych możliwości jest mechanizm kradzieży kodów PIN, przeznaczony do atakowania ponad 140 aplikacji bankowych i kryptowalutowych. Oznacza to, że złośliwe oprogramowanie interesuje się nie tylko nazwami użytkowników i hasłami, ale także kodami uwierzytelniającymi na poziomie aplikacji, za pomocą których użytkownicy zatwierdzają dostęp lub transakcje.
Dlaczego ToxicPanda 2.0 jest niebezpieczny
Niebezpieczeństwo ToxicPanda 2.0 polega na tym, że atakuje on samo zaufane urządzenie.
Wiele banków i platform kryptowalutowych traktuje telefon użytkownika jako zaufany czynnik bezpieczeństwa. Jeśli transakcja wygląda tak, jakby pochodziła z tego samego urządzenia, tej samej aplikacji, tej samej sesji i tego samego schematu interakcji użytkownika, systemom antyfraudowym może być trudniej ją wykryć.
Na tym właśnie polega istota oszustw na urządzeniu (on-device fraud).
Zamiast kraść dane logowania i logować się z podejrzanego zewnętrznego urządzenia, atakujący próbują działać z już uwierzytelnionego telefonu ofiary. Cleafy wcześniej opisał ToxicPanda jako element nowoczesnej generacji złośliwego oprogramowania mobilnego z funkcjami zdalnego dostępu, które pozwalają atakującym przejmować konta bezpośrednio z przejętego urządzenia.
Kluczowe możliwości
ToxicPanda 2.0 oferuje kilka możliwości, które czynią go groźniejszym od wcześniejszych wariantów.
Złośliwe oprogramowanie potrafi obsługiwać polecenia zdalne, nadużywać funkcji Androida, kraść dane uwierzytelniające i utrzymywać trwałą obecność w systemie. Zimperium zwróciło uwagę na nowe funkcje, w tym zautomatyzowane nadużywanie ADB, kradzież danych uwierzytelniających z ekranu blokady oraz rozszerzony zestaw 167 poleceń zdalnych.
Wcześniejsze badania nad ToxicPanda dokumentowały też nadużywanie usług ułatwień dostępu Androida (Accessibility Services), funkcje zdalnego sterowania, przechwytywanie haseł jednorazowych (OTP) oraz techniki zaciemniania kodu. Dzięki tym możliwościom złośliwe oprogramowanie może manipulować urządzeniem, obserwować działania użytkownika, przechwytywać wrażliwe dane i pomagać atakującym w przeprowadzaniu oszukańczych transakcji.
W praktyce przejęte urządzenie z Androidem może dać atakującym dostęp do:
- danych uwierzytelniających do aplikacji bankowych
- danych uwierzytelniających do aplikacji portfeli kryptowalutowych
- kodów PIN aplikacji
- haseł jednorazowych
- monitów uwierzytelniających
- zawartości ekranu
- możliwości zdalnego sterowania
- trwałej obecności na poziomie urządzenia
- procesów zatwierdzania transakcji
Dzięki temu telefon staje się jednocześnie celem i platformą ataku.
Dlaczego kradzież PIN-ów ma znaczenie
Kradzież kodów PIN jest szczególnie istotna, ponieważ wiele mobilnych aplikacji bankowych i kryptowalutowych wykorzystuje krótkie kody PIN na poziomie aplikacji jako drugą warstwę ochrony.
Użytkownicy mogą zakładać, że nawet jeśli ich hasło zostanie skradzione, atakujący nadal będzie potrzebował kodu PIN telefonu, kodu PIN aplikacji lub zatwierdzenia biometrycznego. ToxicPanda 2.0 podważa to założenie, atakując urządzenie, na którym te zatwierdzenia są dokonywane.
Jeśli złośliwe oprogramowanie może obserwować lub przechwycić proces wprowadzania kodu PIN, atakujący może obejść zabezpieczenia zaprojektowane po to, by powstrzymywać zdalne oszustwa.
Nie oznacza to, że każdy zainfekowany użytkownik od razu straci środki, ale znacząco zwiększa to ryzyko nieautoryzowanego dostępu, oszukańczych przelewów i kradzieży kryptowalut.
Ataki z nakładką i kradzież danych uwierzytelniających
Podobnie jak wiele trojanów bankowych na Androida, ToxicPanda może wykorzystywać ataki z nakładką (overlay).
W ataku z nakładką złośliwe oprogramowanie wyświetla fałszywy ekran logowania na wierzchu legalnej aplikacji bankowej lub kryptowalutowej. Użytkownik wierzy, że wpisuje dane w prawdziwej aplikacji, ale informacje trafiają do złośliwego oprogramowania.
Zimperium podaje, że ToxicPanda 2.0 rozszerzył kradzież danych uwierzytelniających z mniejszego zbioru celów do 349 aplikacji bankowych, finansowych, e-portfeli i kryptowalutowych.
Dzięki temu złośliwe oprogramowanie lepiej się skaluje. Zamiast koncentrować się na garstce banków, operatorzy mogą atakować użytkowników w wielu regionach i na wielu platformach finansowych.
Jak się rozprzestrzenia
Publiczne doniesienia o ToxicPanda i powiązanej aktywności TgToxic wielokrotnie wskazywały na dystrybucję poza oficjalnymi sklepami z aplikacjami, często z wykorzystaniem socjotechniki, stron phishingowych, fałszywych aplikacji lub plików APK instalowanych z nieoficjalnych źródeł (sideloading).
Wcześniejsze badania Cleafy opisywały łańcuch infekcji ToxicPanda jako sideloading za pomocą socjotechniki.
Ładunki TgToxic były dystrybuowane za pośrednictwem plików APK typu dropper, prawdopodobnie przez wiadomości SMS lub strony phishingowe, choć dokładny mechanizm dostarczania nie został w pełni potwierdzony.
Dlatego użytkownicy Androida powinni zachować ostrożność wobec aplikacji instalowanych z linków, komunikatorów, fałszywych stron aktualizacji, nieoficjalnych sklepów z aplikacjami oraz plików przesyłanych przez SMS-y i czaty.
Związek z ewolucją TgToxic
ToxicPanda wydaje się powiązany z szerszym ekosystemem TgToxic.
TgToxic został po raz pierwszy opisany jako trojan bankowy zdolny do kradzieży danych uwierzytelniających i środków z portfeli kryptowalutowych oraz aplikacji finansowych. Późniejsze warianty dodały bardziej zaawansowane mechanizmy utrudniające analizę oraz odporniejsze techniki komunikacji z serwerem dowodzenia i kontroli (C2).
Operatorzy TgToxic nadal modyfikowali złośliwe oprogramowanie po publicznych doniesieniach, wprowadzając m.in. ulepszone wykrywanie emulatorów i zaktualizowane metody komunikacji z serwerem C2, które mają utrudniać analizę i neutralizację.
ToxicPanda 2.0 wpisuje się w ten schemat: złośliwe oprogramowanie szybko ewoluuje, poszerza listę celów, dodaje polecenia i doskonali zdolność do przejmowania urządzeń.
Dlaczego mobilne złośliwe oprogramowanie bankowe jest coraz groźniejsze
Rozwój złośliwego oprogramowania takiego jak ToxicPanda 2.0 odzwierciedla szerszą zmianę w cyberprzestępczości.
Bankowość przeniosła się na telefony. Portfele kryptowalutowe przeniosły się na telefony. Tożsamość cyfrowa przeniosła się na telefony. Monity MFA przeniosły się na telefony. Dostęp do zasobów firmowych i menedżery haseł również często są używane na urządzeniach mobilnych.
Atakujący podążają za tym zaufaniem.
Przejęty telefon może być cenniejszy niż przejęty laptop, ponieważ może zawierać:
- aplikacje bankowe
- portfele kryptowalutowe
- aplikacje uwierzytelniające
- wiadomości SMS
- konta e-mail
- sesje menedżera haseł
- dokumenty tożsamości
- komunikatory
- narzędzia dostępu do zasobów firmowych
Dlatego mobilne złośliwe oprogramowanie stanowi bezpośrednie zagrożenie zarówno dla konsumentów, jak i dla przedsiębiorstw.
Co powinni zrobić użytkownicy
Użytkownicy Androida powinni poważnie traktować to ryzyko, zwłaszcza jeśli korzystają z mobilnej bankowości lub aplikacji kryptowalutowych.
Zalecane kroki:
- Instaluj aplikacje wyłącznie z oficjalnych sklepów.
Unikaj plików APK z linków, grup na Telegramie, wiadomości SMS, fałszywych stron aktualizacji i nieoficjalnych sklepów z aplikacjami. - Bądź podejrzliwy wobec aplikacji, które żądają uprawnień Accessibility.
Trojany bankowe często nadużywają usług ułatwień dostępu (Accessibility Services), aby kontrolować urządzenie i przechwytywać dane. - Nie ignoruj ostrzeżeń Play Protect.
Google wcześniej informował, że użytkownicy Androida są chronieni przed znanymi wersjami powiązanego złośliwego oprogramowania przez Google Play Protect, który potrafi ostrzegać przed złośliwymi aplikacjami lub je blokować, nawet jeśli pochodzą spoza Google Play. - Natychmiast usuwaj nieznane aplikacje.
Jeśli ikona aplikacji znika, aplikacja zachowuje się dziwnie, prosi o nadmierne uprawnienia lub podaje się za aktualizację zabezpieczeń, potraktuj ją jako podejrzaną. - Korzystaj z silnych zabezpieczeń na poziomie aplikacji.
Włącz logowanie biometryczne tam, gdzie jest dostępne, ale pamiętaj, że złośliwe oprogramowanie na urządzeniu może nadal atakować proces zatwierdzania. - Uważnie monitoruj konta bankowe i kryptowalutowe.
Zwracaj uwagę na nietypowe logowania, nowych odbiorców, wypłaty, przelewy lub rejestracje urządzeń. - Jeśli podejrzewasz przejęcie, użyj czystego urządzenia.
Nie resetuj haseł ani nie przenoś środków z zainfekowanego telefonu. Użyj innego zaufanego urządzenia i skontaktuj się z bankiem lub dostawcą portfela.
Co powinny zrobić instytucje finansowe
Banki, firmy fintech i platformy kryptowalutowe powinny zakładać, że urządzenia części użytkowników mogą być przejęte.
Zalecane mechanizmy kontroli obejmują:
- wykrywanie zagrożeń mobilnych wewnątrz aplikacji bankowych
- wykrywanie nakładek i nadużyć usług ułatwień dostępu
- kontrole integralności urządzenia
- analitykę behawioralną pod kątem oszustw na urządzeniu
- ocenę ryzyka transakcji
- wykrywanie anomalii w nietypowej nawigacji i zachowaniu przy przelewach
- dodatkową weryfikację (step-up) przy ryzykownych przelewach
- wykrywanie aktywności zdalnego sterowania
- mechanizmy ochrony przed zautomatyzowanymi wzorcami interakcji
- ostrzeżenia dla użytkowników po wykryciu niebezpiecznych uprawnień
Kluczem jest, by przestać ślepo ufać urządzeniu.
Jeśli sam telefon jest pod kontrolą atakującego, standardowe sygnały logowania i MFA mogą nie wystarczyć.
Podsumowanie
ToxicPanda 2.0 pokazuje, jak szybko ewoluuje złośliwe oprogramowanie bankowe na Androida.
Nie koncentruje się ono już wyłącznie na kradzieży haseł. Rozszerza się na setki aplikacji bankowych, e-portfeli i kryptowalutowych, dodaje funkcje zdalnego sterowania, kradnie kody PIN aplikacji i pomaga atakującym przeprowadzać oszustwa bezpośrednio z urządzenia ofiary.
Użytkownik nadal może widzieć prawdziwą aplikację bankową.
Logowanie nadal może odbywać się na prawdziwym telefonie.
Transakcja nadal może wyglądać tak, jakby pochodziła z zaufanego urządzenia.
Ale atakujący może kontrolować ten proces zza kulis.
Urządzenia mobilne są dziś częścią obwodu bezpieczeństwa finansowego. Użytkownicy, banki, platformy kryptowalutowe i przedsiębiorstwa muszą traktować złośliwe oprogramowanie na Androida jako bezpośrednie zagrożenie dla tożsamości, płatności i aktywów cyfrowych.
