Siber güvenlik araştırmacıları, ToxicPanda (diğer adıyla TgToxic) zararlı yazılımının "önemli geliştirmeler" içeren güncellenmiş versiyonunu ortaya çıkardı. Yeni sürüm, 167 uzaktan komut seti barındırıyor ve hedef kitlesini küresel çapta genişletiyor.
Zimperium zLabs, Çarşamba günü yayımladığı bir raporda, bu Android zararlısının 140'tan fazla bankacılık ve kripto para uygulamasını hedef alarak PIN kodlarını çalmaya yönelik bir iş akışı da içerdiğini belirtti. ToxicPanda'nın en az Temmuz 2022'den beri aktif olarak kullanıldığı biliniyor.
Güvenlik araştırmacısı Vishnu Pratapagiri konuyla ilgili şunları söyledi: "Saldırganlar, Android erişilebilirlik hizmetini kötüye kullanarak ekrandaki her kullanıcı arayüzü öğesini çalabiliyor. Önceki sürüm sadece 16 bankacılık uygulamasını hedef alırken, yeni sürüm 16 ülkedeki 349 finans kuruluşunu hedefleyen ve ekranı kaplayan sahte katmanlar (overlay) aracılığıyla kimlik bilgisi çalan bir mekanizmaya sahip. Bu durum, hedefleme kapsamı ve yeteneklerde ciddi bir genişlemeye işaret ediyor."
Yeni sürüm, daha önce uygulanmamış bazı komutları da hayata geçiriyor. Sahte bir ekran katmanı kullanarak kilit ekranı kimlik bilgilerini sızdırıyor. Ayrıca, ele geçirilen cihazlarda yetki yükseltmeyi ve kabuk (shell) düzeyinde erişimi kolaylaştırmak için Android Hata Ayıklama Köprüsü (ADB) aracılığıyla Android Kablosuz Hata Ayıklama özelliğini kötüye kullanan otomatik, tıklama tabanlı bir mekanizma getiriyor. Zararlı yazılım bunu, erişilebilirlik hizmetlerini kullanarak Geliştirici Seçeneklerini etkinleştirmek ve Kablosuz hata ayıklamayı açmak suretiyle gerçekleştiriyor.
ToxicPanda 2.0, komutları almak ve veri alışverişi yapmak için çift yönlü bir WebSocket iletişim kanalı kurmak adına ilk HTTPS isteğini göndererek komuta ve kontrol (C2) sunucusuna bağlanıyor. Yeni keşfedilen Manic zararlısında olduğu gibi, bu Android zararlısı da arka plandaki eylemlerini gizlemek için tam ekran "sistem güncellemesi" pencereleri gösterebiliyor ve dokunmaları yakalayıp PIN kodlarını çalmak için görünmez, şeffaf bir ekran katmanı kullanabiliyor.
