Noční můra pro Android: Toxický malware ohrožuje 349 aplikací

Nový malware ovládne Android přes VPN: Zablokuje Google Play a obejde ochranu

Jednou z nejvíce rizikových novinek druhé verze ToxicPandy je zneužití oprávnění pro VPN. Malware si v zařízení vytvoří vlastní lokální síťové rozhraní, přes které může zasahovat do procházející komunikace. To umožňuje například zablokovat spojení s Obchodem Play a službami Google Play.

Útočníci tím získávají kontrolu nad síťovým provozem zařízení a mohou narušovat bezpečnostní mechanizmy Androidu. Týká se to například ověřování aplikací, jejich aktualizací nebo komunikace s bezpečnostní službou Google Play Protect. Po získání oprávnění k VPN ToxicPanda 2.0 nejprve zablokuje komunikaci s Obchodem Play, následně stáhne a nainstaluje svůj škodlivý kód, a poté se také pokusí získat přístup ke službám zpřístupnění.

Podle bezpečnostních expertů z firmy Zimperium se ToxicPanda 2.0 šíří prostřednictvím úložišť, hostovaných v cloudové infrastruktuře Amazon AWS. Analýza malwaru navíc odhalila schopnost automaticky zneužít androidové bezdrátové ladění ADB, a získat tak na napadeném zařízení přístup k příkazovému řádku.

V hledáčku kyberzločinců jsou stovky finančních aplikací

Nejnovější verze ToxicPanda podporuje 167 příkazů, které mohou útočníci spouštět na dálku. Součástí výbavy jsou také phishingové překryvné obrazovky, připravené pro 349 aplikací z oblasti bankovnictví – především finanční, kryptoměnové a další typy platebních aplikací. Útoky jsou zaměřené na uživatele v 16 zemích.

Malware je navíc vybaven samostatným modulem určeným ke krádeži PIN kódů. Cílí na 140 finančních a kryptoměnových aplikací. Seznam napadaných aplikací přitom může průběžně aktualizovat.

Překryvné vrstvy, které Panda zneužívá, jsou pro oběť neviditelné a malwaru při práci s napadenými aplikacemi umožňují zaznamenávat uživatelské vstupy. ToxicPanda dokáže také napodobit zamykací obrazovku Androidu a získat tak PIN, gesto pro odemknutí nebo heslo uživatele. Některé analyzované vzorky navíc zobrazovaly falešnou obrazovku aktualizace systému, která měla zakrýt škodlivé aktivity na pozadí.

Malware se snaží v telefonu udržet co nejdéle

Zajímavá je také funkce označená jako „autoBoot“. Malware nejprve zjistí výrobce napadeného telefonu, a poté otevře odpovídající nastavení automatického spouštění aplikací nebo správy spotřeby energie.

Tím se snaží obejít mechanismy, které kvůli úspoře baterie ukončují procesy běžící na pozadí. Podle Zimperia je tento postup připravený pro zařízení značek Xiaomi, Oppo, Vivo, Samsung a Huawei.

ToxicPanda zneužívá bezdrátové ADB

Za jednu z nejvýraznějších schopností nové verze ToxicPandy však výzkumníci považují automatické zneužití Android Debug Bridge, známého pod zkratkou ADB. Jde o nástroj, který prostřednictvím příkazového řádku umožňuje provádět pokročilé operace v Androidu. Od Androidu 11 je možné ADB používat také bezdrátově přes Wi-Fi, tedy bez připojení telefonu k počítači pomocí USB kabelu.

ToxicPanda k tomu zneužívá oprávnění služeb zpřístupnění. Sama aktivuje vývojářské možnosti, zapne bezdrátové ladění, zjistí šestimístný párovací kód ADB i příslušný port, a následně se připojí k lokální službě ADB v telefonu.

Jakmile získá přístup na úrovni shellu, může prostřednictvím ADB spouštět příkazy s vyššími oprávněními. Podle Zimperia tím malware dokáže obejít některé standardní dialogy Androidu pro udělení souhlasu, přidělovat si rozsáhlá oprávnění, omezovat ochranné mechanismy systému a posilovat svou schopnost přežít v napadeném zařízení.

Při procesu tvorby androidového malwaru se podle bezpečnostních expertů zneužívání bezdrátového ADB stává stále častější technikou. Bezpečnostní analytici nedávno objevili podobný mechanismus například také v nové verzi malwaru RedHook.

Zdroj: BleepingComputer, The Hacker News