Pesquisadores de cibersegurança chamaram atenção para uma versão atualizada do ToxicPanda, também conhecido como TgToxic, que chega com “melhorias significativas”, incluindo um conjunto de 167 comandos remotos e uma expansão global do seu alcance de alvos.
Em um relatório publicado na quarta-feira, a Zimperium zLabs informou que o malware para Android também traz um fluxo de captura de PINs voltado a mais de 140 aplicativos bancários e de criptomoedas. O ToxicPanda é conhecido por estar ativo em campo desde pelo menos julho de 2022.
“Ao abusar do serviço de acessibilidade do Android, os threat actors podem roubar todos os elementos de interface exibidos na tela, além de um mecanismo de roubo de credenciais baseado em sobreposição, voltado a 349 instituições financeiras em 16 países. Em comparação com a versão anterior, que mirava apenas 16 aplicativos bancários, a iteração mais recente mostra uma expansão significativa no escopo de alvos e nas capacidades”, disse o pesquisador de segurança Vishnu Pratapagiri.
A nova versão também aprimora alguns comandos que antes não estavam implementados, captura credenciais da tela de bloqueio por meio de uma falsa sobreposição e introduz um mecanismo automatizado baseado em cliques para abusar do Depurador sem fio do Android via Android Debug Bridge (ADB), facilitando a escalada de privilégios e o acesso em nível de shell em dispositivos comprometidos. Para isso, o malware usa os serviços de acessibilidade para ativar as Opções do desenvolvedor e ligar o depurador sem fio.
O ToxicPanda 2.0 se conecta ao seu servidor de command and control (C2) enviando uma requisição inicial HTTPS para estabelecer um canal de comunicação bidirecional via WebSocket, usado para receber comandos e trocar dados. Assim como o recém-descoberto Manic, o malware para Android pode exibir sobreposições em tela cheia com a mensagem de “atualização do sistema” para ocultar suas ações em segundo plano e implantar uma sobreposição transparente e invisível para capturar toques e coletar códigos PIN.
Entre as novas funcionalidades, também há um prompt para induzir a vítima a conceder privilégios de Administrador do dispositivo, a substituição do PIN ou da senha da tela de bloqueio local por um valor definido pelo atacante e a criação de um perfil do dispositivo infectado para identificar o fabricante OEM e adotar medidas adequadas para isentar o malware das políticas de otimização de bateria, usando os serviços de acessibilidade para garantir execução contínua em segundo plano.
“A campanha atualizada também revela uma mudança nos métodos de distribuição, com amostras do ToxicPanda 2.0 sendo entregues por meio de buckets hospedados na Amazon AWS, o que indica que os atacantes estão usando infraestrutura em cloud para distribuir malware”, afirmou a Zimperium.
Nova campanha do GoldDigger mira África do Sul e Reino Unido
O terceiro trojan bancário para Android a entrar no radar de segurança é o GoldDigger, documentado pela primeira vez pela Group-IB em outubro de 2023 como capaz de realizar fraude no próprio dispositivo. Ele é atribuído à GoldFactory, um threat actor de língua chinesa ligado a outras famílias de malware bancário que atacam Android e iOS, como GoldPickaxe, GoldDiggerPlus e GoldKefu.
Segundo a IBM Trusteer, o GoldDigger usa um empacotador sofisticado chamado “dpt-shell” para ofuscar seu código e seus recursos na tentativa de resistir à análise. O empacotador também implementa várias técnicas de evasão, como criptografar sua lógica nativa, detectar se o Frida está anexado ao processo e, nesse caso, encerrar a execução, além de impedir a conexão de depuradores externos ao se marcar como rastreado por meio da chamada de sistema PTRACE.
A campanha atual do GoldDigger se passa principalmente por empresas aéreas e varejistas, o que resultou em uma “infecção massiva” na África do Sul e no Reino Unido. As vítimas que acabam instalando esses aplicativos são orientadas a conceder permissões de serviços de acessibilidade, que o malware explora para realizar ações fraudulentas.
“O GoldDigger pode injetar entradas no aplicativo bancário para simular a interação do usuário, como digitar texto, clicar em botões e executar gestos”, disse o pesquisador de segurança Shahar Tavor Lusky. Com isso, o GoldDigger inicia transações fraudulentas a partir do aplicativo bancário da vítima para o atacante.
O GoldDigger também pode dar ao operador acesso em tempo real à tela da vítima, capturar credenciais inseridas em aplicativos bancários por meio de sobreposições falsas e executar um aplicativo alvo em um ambiente virtual, oferecendo ao atacante visibilidade total sobre seu comportamento em tempo de execução e interceptação em tempo real de credenciais e dados sensíveis.
Para o C2, o malware estabelece uma conexão WebSocket para receber comandos que permitem solicitar permissões de acessibilidade e localização, capturar entradas de qualquer aplicativo usando os serviços de acessibilidade, coletar contatos e mensagens SMS, gravar áudio e vídeo e transmiti-los usando o protocolo RTMP para o servidor C2, abrir URLs específicos e abrir aplicativos específicos, como a Google Play Store e Configurações.
Para se proteger dessas ameaças, a recomendação é revisar os aplicativos instalados e remover qualquer um desconhecido ou suspeito, verificar as permissões dos aplicativos antes de concedê-las, baixar aplicativos apenas de fontes e desenvolvedores confiáveis, manter os dispositivos atualizados, habilitar a autenticação de dois fatores (2FA) em todas as contas online e monitorar as contas bancárias em busca de transações incomuns.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...