ToxicPanda è tornato con una variante più complessa e aggressiva.
Il trojan bancario attivo su sistemi Android, già noto per colpire applicazioni finanziarie, ora combina VPN locale, Accessibility Service, Wireless Debugging e impostazioni specifiche dei produttori per ostacolare i controlli, rubare credenziali e consolidare la propria presenza sul dispositivo.
L’analisi di Zimperium, ripresa da BleepingComputer, riguarda nello specifico ToxicPanda 2.0, una versione capace di colpire 349 applicazioni distribuite in 16 Paesi e di ricevere 167 comandi remoti. I campioni esaminati sono stati distribuiti attraverso bucket ospitati su Amazon AWS. Non si tratta soltanto di un malware che mostra schermate contraffatte: la nuova variante cerca prima di controllare l’ambiente Android, ridurre le possibilità di rilevamento e automatizzare le operazioni necessarie a mantenere l’accesso.
ToxicPanda controlla rete e applicazioni
Una delle funzioni più rilevanti riguarda il servizio VPN di Android. Attraverso l’API VpnService, un’app può creare una VPN locale senza collegarsi necessariamente a un server remoto. ToxicPanda sfrutta questa possibilità per intercettare il traffico che passa dall’interfaccia virtuale e bloccare le comunicazioni con Google Play e Google Play Services.
