Más de 1.500 dispositivos Android han sido infectados por una nueva cepa de malware bancario para Android llamada ToxicPanda que permite a los actores de amenazas realizar transacciones bancarias fraudulentas.
«El objetivo principal de ToxicPanda es iniciar transferencias de dinero desde dispositivos comprometidos a través de la toma de control de cuentas (ATO) utilizando una técnica bien conocida llamada fraude en el dispositivo (ODF)», afirmaron los investigadores de Cleafy Michele Roviello, Alessandro Strino y Federico Valentini en un análisis publicado el lunes.
«Su objetivo es eludir las contramedidas bancarias utilizadas para reforzar la verificación de la identidad y la autenticación de los usuarios, combinadas con técnicas de detección del comportamiento aplicadas por los bancos para identificar transferencias de dinero sospechosas.»
Se cree que ToxicPanda es obra de un actor de amenazas de habla china, y el malware comparte similitudes fundacionales con otro malware para Android apodado TgToxic, que puede robar credenciales y fondos de monederos de criptomonedas. TgToxic fue documentado por Trend Micro a principios de 2023.
La mayoría de los ataques se han registrado en Italia (56,8%), seguida de Portugal (18,7%), Hong Kong (4,6%), España (3,9%) y Perú (3,4%), lo que supone un caso poco frecuente de un actor de amenazas chino orquestando un plan fraudulento dirigido a usuarios de banca minorista en Europa y América Latina.
El troyano bancario también parece estar en su fase inicial. El análisis muestra que se trata de una versión reducida de su antecesor, eliminando las rutinas Automatic Transfer System (ATS), Easyclick y de ofuscación, al tiempo que introduce 33 nuevos comandos propios para recopilar una amplia gama de datos.
Además, se han encontrado hasta 61 comandos comunes a TgToxic y ToxicPanda, lo que indica que el mismo actor de amenazas o sus afiliados cercanos están detrás de la nueva familia de malware.
«Aunque comparte algunas similitudes de comandos bot con la familia TgToxic, el código diverge considerablemente de su fuente original», afirman los investigadores. «Muchas capacidades características de TgToxic están notablemente ausentes, y algunos comandos aparecen como marcadores de posición sin implementación real».
El malware se hace pasar por aplicaciones populares como Google Chrome, Visa y 99 Speedmart, y se distribuye a través de páginas falsificadas que imitan los listados de las tiendas de aplicaciones. Actualmente se desconoce cómo se propagan estos enlaces y si implican técnicas de malvertising o smishing.
Una vez instalado mediante sideloading, ToxicPanda abusa de los servicios de accesibilidad de Android para obtener permisos elevados, manipular las entradas del usuario y capturar datos de otras aplicaciones. También puede interceptar contraseñas de un solo uso (OTP) enviadas por SMS o generadas mediante aplicaciones de autenticación, lo que permite a los autores de la amenaza eludir las protecciones de autenticación de dos factores (2FA) y completar transacciones fraudulentas.
La principal funcionalidad del malware, además de su capacidad para recopilar información, es permitir a los atacantes controlar remotamente el dispositivo infectado y realizar lo que se denomina ODF, que permite iniciar transferencias de dinero no autorizadas sin el conocimiento de la víctima.
Cleafy afirma que pudo acceder al panel de mando y control (C2) de ToxicPanda, una interfaz gráfica presentada en chino que permite a los operadores ver la lista de dispositivos víctimas, incluida la información sobre el modelo y la ubicación, y eliminarlos del capó. Además, el panel sirve de conducto para solicitar acceso remoto en tiempo real a cualquiera de los dispositivos para realizar ODF.
«ToxicPanda necesita demostrar capacidades más avanzadas y únicas que complicarían su análisis», dijeron los investigadores. «Sin embargo, artefactos como información de registro, código muerto y archivos de depuración sugieren que el malware puede estar en sus primeras etapas de desarrollo o sometido a una amplia refactorización de código, especialmente dadas sus similitudes con TGToxic.»
La noticia se produce cuando un grupo de investigadores del Instituto de Tecnología de Georgia, la Universidad Internacional Alemana y la Universidad Kyung Hee detallan un servicio de análisis de malware backend llamado DVa -diminutivo de Detector de Accesibilidad Específica de Víctimas- para detectar malware que explota funciones de accesibilidad en dispositivos Android.
«Utilizando trazas de ejecución dinámicas, DVa utiliza además una estrategia de ejecución simbólica guiada por vectores de abuso para identificar y atribuir rutinas de abuso a las víctimas», explicaron. «Por último, DVa detecta mecanismos de persistencia [de accesibilidad] para comprender cómo el malware obstruye las consultas legales o los intentos de eliminación».
Fuente: thehackernews