ToxicPanda 2.0 usa VPN falsa para desativar proteções do Google em celulares

O ToxicPanda 2.0 agora ataca 349 instituições financeiras em 16 países, um grande aumento em relação à versão anterior, que mirava apenas 16 aplicativos bancários.

Mostra a escala do crescimento da ameaça e o interesse dos criminosos em atingir um número muito maior de vítimas no setor financeiro.

A nova versão do malware traz um conjunto de 167 comandos remotos para os atacantes.

O aumento expressivo de comandos indica uma infraestrutura mais versátil, capaz de executar diversas ações fraudulentas no dispositivo infectado.

O malware explora o serviço de acessibilidade do Android para roubar informações da tela e credenciais, incluindo senhas de bloqueio por meio de uma sobreposição falsa.

O uso do serviço de acessibilidade permite que o malware observe e interaja com tudo o que aparece na tela, facilitando o roubo de credenciais bancárias.

O ToxicPanda 2.0 usa o Android Wireless Debugging via Android Debug Bridge (ADB) para obter escalonamento de privilégio e acesso shell no dispositivo comprometido.

Esse recurso permite que o malware saia do sandbox do aplicativo e ganhe controle mais profundo sobre o sistema Android, ampliando o dano possível.

O ToxicPanda 2.0 adicionou um fluxo de coleta de PIN (PIN harvesting) direcionado a mais de 140 aplicativos bancários e de criptomoedas.

Isso representa uma nova capacidade de roubo de senhas numéricas, aumentando o potencial de fraude móvel.

A nova versão implementa comandos anteriormente não implementados e rouba credenciais de tela de bloqueio usando uma sobreposição falsa.

A ampliação dos comandos e a técnica de sobreposição facilitam a captura de senhas e dados sensíveis.

O ToxicPanda 2.0 usa um mecanismo automatizado de cliques para abusar do Android Wireless Debugging via ADB, obtendo escalonamento de privilégio e acesso shell.

Esse método permite controle quase total do dispositivo, ampliando o impacto do malware.

O malware ToxicPanda 2.0 adicionou um fluxo de coleta de PIN direcionado a mais de 140 aplicativos bancários e de criptomoedas, além de expandir o alvo para 349 instituições financeiras em 16 países.

Atualização do malware Android amplia significativamente seu escopo de ataque.

O ToxicPanda 2.0 usa um prompt falso de instalação de VPN para enganar a vítima e obter permissões que bloqueiam as proteções do Google Play Protect no dispositivo.

A nova estratégia do malware se aproveita da confiança em apps de VPN para desativar a segurança nativa do Android.