În acest material discutăm despre ToxicPanda, un malware pentru Android și abordăm securitatea mobilă a telefoanelor companiei.
Telefoanele mobile au devenit instrumente esențiale atât pentru activitățile personale, cât și pentru cele profesionale. Pe un singur dispozitiv pot fi stocate aplicații bancare, conturi de serviciu, documente, parole, portofele digitale și date care pot fi folosite pentru recuperarea altor conturi. Din acest motiv, compromiterea unui smartphone poate avea consecințe mult mai serioase decât simpla pierdere a unor informații personale.
O nouă versiune a malware-ului Android ToxicPanda arată cât de departe pot ajunge atacurile asupra dispozitivelor mobile. ToxicPanda 2.0 nu se limitează la furtul datelor introduse în aplicațiile bancare, ci poate încerca să obțină chiar credențialele folosite pentru deblocarea telefonului. Cercetarea realizată de echipa zLabs din cadrul Zimperium indică o extindere importantă a capabilităților malware-ului.
Noua variantă poate ținti 349 de aplicații bancare, financiare, de portofele digitale și criptomonede din 16 țări și include 167 de comenzi care pot fi transmise de la distanță. Printre capabilități se află abuzarea funcțiilor de accesibilitate, controlul dispozitivului și folosirea unor mecanisme prin care atacatorii pot încerca să obțină PIN-ul, modelul sau parola telefonului.
ToxicPanda 2.0 își extinde semnificativ capacitățile
ToxicPanda este o familie de troieni bancari pentru Android, observată inițial în campanii care urmăreau compromiterea aplicațiilor financiare. Analiza noii versiuni arată o evoluție importantă față de varianta anterioară, atât în ceea ce privește numărul aplicațiilor vizate, cât și posibilitățile de control asupra dispozitivului.
Una dintre metodele utilizate este afișarea unor interfețe false peste aplicațiile legitime. Atunci când utilizatorul deschide o aplicație financiară vizată, malware-ul poate afișa o interfață care imită ecranul real. Datele introduse în aceasta pot ajunge la atacatori, ceea ce poate permite furtul de credențiale și alte informații sensibile.
ToxicPanda 2.0 abuzează și de Android Accessibility Service, o funcție legitimă destinată facilitării utilizării dispozitivului. În mâinile unui malware, această funcție poate fi folosită pentru citirea elementelor afișate pe ecran, efectuarea unor acțiuni și modificarea anumitor setări fără intervenția directă a utilizatorului.
Malware-ul poate încerca să fure PIN-ul telefonului
Una dintre cele mai îngrijorătoare funcții identificate în ToxicPanda 2.0 este mecanismul pentru furtul credențialelor de deblocare. Malware-ul poate afișa o interfață care imită ecranul nativ de blocare al Android, cu scopul de a determina utilizatorul să introducă PIN-ul, modelul sau parola.
Această capabilitate schimbă perspectiva asupra riscului. Nu mai este vorba doar despre protejarea unei aplicații bancare sau a unei parole individuale. În cazul în care credențialele de deblocare sunt compromise, atacatorul poate obține un avantaj suplimentar pentru accesarea dispozitivului și a informațiilor disponibile pe acesta.
ToxicPanda 2.0 poate utiliza și funcția Android Wireless Debugging. Cercetătorii au documentat un mecanism automat prin care malware-ul poate activa Developer Options și Wireless Debugging, poate identifica un cod de asociere și poate stabili o conexiune cu serviciul ADB. Ulterior, această conexiune poate fi folosită pentru executarea unor comenzi și acordarea unor permisiuni suplimentare.
O altă problemă: malware-ul poate interfera cu Google Play
Un aspect deosebit de relevant este modul în care ToxicPanda 2.0 încearcă să își protejeze activitatea după instalare. Malware-ul poate solicita permisiuni pentru un serviciu VPN și poate folosi accesul astfel obținut pentru a controla traficul de rețea al dispozitivului.
Potrivit analizelor publicate în ultimele zile, mecanismul poate bloca anumite comunicații ale Google Play și Google Play Services. Acest comportament poate afecta inclusiv verificările de securitate și comunicarea necesară pentru funcțiile de protecție ale ecosistemului Android.
Prin urmare, o aplicație care solicită în mod neașteptat acces la Accessibility Service, VPN, administrarea dispozitivului sau Wireless Debugging trebuie tratată cu maximă atenție. Acestea sunt funcții legitime, dar nu ar trebui acordate automat unei aplicații doar pentru ca aceasta să funcționeze.
Cum poate fi securizat telefonul de serviciu
În cazul telefoanelor utilizate pentru activități profesionale, securitatea trebuie tratată cu aceeași seriozitate ca în cazul unui laptop sau al unui calculator de companie. Un smartphone poate oferi acces la e-mail, platforme interne, documente, aplicații financiare și conturi care pot fi folosite pentru a compromite ulterior alte sisteme.
Evitarea site-urilor și aplicațiilor care nu sunt necesare
Primul pas este evitarea accesării unor site-uri necunoscute sau suspecte, în special atunci când acestea sunt primite prin SMS, e-mail, mesaje instant sau rețele sociale.
De asemenea, pe telefonul de serviciu ar trebui instalate doar aplicațiile necesare activității. Cu cât există mai multe aplicații și servicii inutile, cu atât crește suprafața potențială de atac.
Un link care solicită instalarea unei aplicații, activarea unei funcții de securitate sau acordarea unor permisiuni neobișnuite trebuie verificat înainte de orice acțiune.
Utilizarea unei soluții antivirus
O soluție antivirus sau de securitate mobilă poate reprezenta un nivel suplimentar de protecție împotriva aplicațiilor malițioase și a comportamentelor suspecte.
Protecția antivirus nu trebuie însă privită ca un substitut pentru comportamentul prudent. Un utilizator care instalează aplicații din surse necunoscute și acordă automat toate permisiunile solicitate poate rămâne expus chiar dacă telefonul beneficiază de o soluție de securitate.
Instalarea aplicațiilor doar din Google Play Store
O regulă importantă pentru telefoanele Android este instalarea aplicațiilor din surse oficiale, în special Google Play Store, și evitarea fișierelor APK primite prin linkuri, mesaje sau descărcate de pe site-uri necunoscute.
Faptul că o aplicație este disponibilă într-un magazin oficial nu reprezintă o garanție absolută de securitate, însă eliminarea instalărilor din surse neverificate reduce semnificativ riscul.
În cazul în care o pagină web, un mesaj sau chiar o persoană solicită instalarea unei aplicații printr-un fișier APK, recomandarea este ca solicitarea să fie verificată înainte de instalare. ToxicPanda 2.0 demonstrează cât de periculoasă poate deveni instalarea unei aplicații malițioase atunci când aceasta primește acces la funcții sensibile ale telefonului.
Atenție la permisiunile solicitate
Permisiunile sunt un alt element care merită verificat. O aplicație care solicită acces la Accessibility Service, VPN, administrarea dispozitivului sau Wireless Debugging trebuie analizată cu atenție, mai ales dacă aceste drepturi nu sunt necesare pentru funcția principală a aplicației.
Utilizatorul nu ar trebui să activeze astfel de funcții doar pentru că o aplicație afișează un mesaj prin care susține că accesul este obligatoriu pentru instalare, actualizare sau securizare.
În cazul unui telefon de serviciu, orice solicitare neobișnuită de permisiuni poate fi raportată departamentului IT sau persoanei responsabile de securitatea dispozitivelor.
Concluzie
ToxicPanda 2.0 evidențiază evoluția amenințărilor pentru dispozitivele Android. Malware-ul nu mai urmărește exclusiv furtul datelor bancare, ci poate încerca să obțină control mai amplu asupra telefonului, inclusiv prin furtul credențialelor de deblocare și abuzarea unor funcții avansate ale sistemului. Cercetătorii au identificat o infrastructură capabilă să vizeze sute de aplicații financiare și să execute numeroase comenzi de la distanță.
Pentru utilizatorii telefoanelor de serviciu, măsurile de bază rămân esențiale: accesarea doar a site-urilor de încredere, instalarea unui antivirus, utilizarea exclusivă a aplicațiilor necesare și instalarea aplicațiilor din Google Play Store, nu din surse necunoscute. În același timp, permisiunile sensibile trebuie acordate cu atenție.
Dacă aveți nevoie de ajutor pentru securizarea infrastructurii companiei, vă stăm la dispoziție.
Zemernett este o companie de externalizare IT care reușește cu succes atât să susțină buna funcționare a infrastructurilor, cât și să implementeze soluții tehnice moderne, ajutând companiile client să devină conforme NIS2 (și să rămână conforme pe termen lung).
