Изследователите определиха нов ботнет на сцената, за който първоначално се предполагаше, че е част от семейството на банковия троянец Toxic, като изцяло нов щам със собствен прякор – ToxicPanda.

Според новите данни на Cleafy банковият бот ToxicPanda се е появил на поне 1500 отделни устройства в Италия, Португалия, Испания и Латинска Америка, като активно се опитва да открадне пари от поне 16 различни финансови институции. Китайски говорещите изпълнители, които стоят зад ToxicPanda, използват зловредния софтуер, за да завладеят набелязаното устройство и да инициират измамни парични преводи, заобикаляйки защитите на банките за идентификация и удостоверяване, предупреждава екипът на Cleafy.

„Възможностите за отдалечен достъп позволяват на заплахите да извършват превземане на сметки (ATO) директно от заразеното устройство, като по този начин използват техниката за измама на устройството (ODF)“, се обяснява в доклада на Cleafy. „Консолидирането на тази техника вече е наблюдавано при други банкови троянци, като Medusa, Copybara, а наскоро и BingoMod.“

Този лишен от съдържание, ръчен подход към банковия троянец за Android дава на извършителите предимството, че не им се налага да използват висококвалифицирани разработчици, открива потенциал за превръщане в жертва на по-широк кръг от банкови клиенти и заобикаля много защити за киберсигурност, използвани от финансовите услуги и банките, отбелязват изследователите.

Важно е да се отбележи, че анализът на кода разкрива, че ToxicPanda е в ранен етап на разработка. Но това не означава, че тя вече не разполага с впечатляващ набор от функции, включително способността да използва услугите за достъпност на Android за увеличаване на разрешенията и прихващане на данни от приложенията, отбеляза екипът на Cleafy.

Освен това ToxicPanda позволява на заплахата да получи дистанционен контрол над заразеното устройство и да инициира действия като парични преводи без знанието на потребителите. Банковият троянец също така прихваща еднократни пароли, изпратени чрез текст или приложение за автентикация, като напълно демонтира многофакторните защити за автентикация. И накрая, ToxicPanda е зареден с трикове за скриване на кода, за да избегне откриване.

Разрастването на ToxicPanda показва, че китайски говорещите престъпници засилват операциите си, за да разширят дейността си на нова територия извън традиционните си корени в Югоизточна Азия, се предупреждава в доклада.

„Тази тенденция подчертава ескалиращото предизвикателство пред екосистемата за мобилна сигурност, тъй като пазарът е все по-наситен със зловреден софтуер и се появяват нови извършители“, се казва в доклада на Cleafy. „Важен въпрос, произтичащ от този анализ, е не само как да се защитим от заплахи като ToxicPanda, но и защо съвременните антивирусни решения трудно откриват заплаха, която от техническа гледна точка е сравнително проста. Въпреки че няма единствен отговор, липсата на проактивни системи за откриване в реално време е основен проблем.“

Google закърпва два активно експлоатирани недостатъка в Android

Тъй като китайски говорещите групи се стремят да получат първоначален достъп до устройствата, те често използват уязвимостите на Android при широкомащабни атаки.

Подобаващо, на 4 ноември Google пусна кръпки за десетки уязвимости в Android като част от ноемврийската актуализация, сред които две, които вече са експлоатирани – CVE-2024-43047 и CVE-2024-43093. Въпреки че Google не е публикувала подробности, първата е открита от Amnesty International и групата за анализ на заплахите на Google, които са добре известни с проследяването на търговски шпионски дейности. Вторият е недостатък с висока степен на ескалация на привилегиите в рамката на Android.

Освен разкриването на недостатъците, които „могат да бъдат подложени на ограничена, целенасочена експлоатация“, Google не е предоставила допълнителни подробности.