В августе 2026 года зафиксирована новая модификация банковского трояна ToxicPanda. Она существенно расширила географию и функциональность: если прежняя версия атаковала лишь 16 банковских приложений, то ToxicPanda 2.0 умеет подделывать интерфейсы 349 финансовых сервисов из 16 стран. В арсенале вредоносной программы появилось 167 удалённых команд, а среди новых возможностей - кража PIN-кодов и паролей экрана блокировки. Ранее этот троян был нацелен преимущественно на европейских пользователей, теперь же его объектами стали клиенты финансовых организаций по всему миру.
Описание
Троян распространяется через вредоносные приложения, размещённые в облачных хранилищах Amazon AWS. Это указывает на то, что злоумышленники перешли от собственных серверов к арендуемой облачной инфраструктуре. Установившись, вредоносная программа маскируется под системный процесс и через службу специальных возможностей Android (системную функцию, позволяющую приложениям читать экран и управлять им) получает доступ к содержимому экрана и возможность автоматически выполнять действия от имени пользователя. Первоначальная версия играет роль загрузчика: чтобы скрыть работу вредоносного кода, она запрашивает разрешение на использование VPN, а затем устанавливает на устройство настоящую вредоносную нагрузку.
Как сообщают аналитики zLabs, обновлённая панель управления трояна получила обозначение v2, а число вредоносных команд возросло до 167. Исследователи отмечают, что многие команды, которые в предыдущей версии были лишь задекларированы, теперь полностью работоспособны. Это касается прежде всего автоматизации действий с системными диалогами, а также операций, связанных с получением прав администратора устройства.
Новая функциональность включает автоматизацию беспроводной отладки Android. Злоумышленники заставляют троян самостоятельно включать режим разработчика, открывать меню беспроводной отладки и извлекать код сопряжения. Таким образом вредоносная программа получает привилегии системного пользователя и может выполнять команды с повышенными правами, не привлекая внимание владельца устройства. Это позволяет ей выдавать себе разрешения, снимать ограничения фоновой работы и укрепляться в системе. Процесс автоматизирован и включает несколько этапов: проверку режима разработчика, переход к настройкам, активацию беспроводной отладки и получение кода сопряжения.
Ещё одна новая возможность - перехват данных, вводимых на экране блокировки. Троян рисует поверх реального экрана поддельный интерфейс, неотличимый от настоящего. Когда жертва вводит PIN-код, графический ключ или пароль, эти данные уходят на командно-контрольный сервер (C2-сервер, через который операторы управляют вредоносной программой). В некоторых случаях вредоносная программа показывает фальшивое окно "Системное обновление", которое скрывает активные фоновые действия и удерживает экран включённым. Это помогает обмануть пользователя и заставить его поверить, что устройство занято плановой процедурой, хотя на самом деле в это время происходят кража данных или установка дополнительных модулей.
Для кражи данных в приложениях банков и кошельков троян использует ту же технику наложения. Как только пользователь открывает одну из отслеживаемых программ, вредоносная нагрузка запрашивает с C2-сервера поддельную веб-страницу, повторяющую интерфейс входа. Поверх оригинального окна отображается фишинговый слой, и жертва, не подозревая обмана, вводит свои учётные данные. Затем введённая информация передаётся операторам. Вдобавок троян считывает список установленных приложений, а также иконки, и отправляет их на сервер, чтобы злоумышленники могли определить, какими банковскими сервисами пользуется жертва, и выбрать подходящие поддельные страницы. Троян также поддерживает динамическое обновление списка целей: операторы могут удалённо заменять перечень приложений и ключевых слов, добавляя новые объекты для кражи PIN-кодов. Кроме того, используются шаблоны, загружаемые с сервера в реальном времени, что позволяет быстро адаптировать фишинговые страницы под изменения дизайна банковских приложений.
Существенно расширился и набор удалённых команд. Например, команда автоматической навигации по системным диалогам позволяет трояну самостоятельно нажимать "Разрешить" или "Не ограничивать" в окнах операционной системы. Команда выдачи прав администратора принуждает владельца устройства предоставить программе администраторские полномочия, используя фразу "Системной службе требуются права администратора". Если пользователь соглашается, троян может менять пароль блокировки и полностью блокировать доступ к устройству. Другая команда позволяет удалённо загружать произвольное содержимое в полноэкранном окне для фишинга или обмана пользователя.
Для поддержания работоспособности на смартфонах разных марок троян определяет производителя устройства и адаптирует свои действия. В частности, он открывает фирменные меню энергосбережения Xiaomi, OPPO, Vivo, Samsung и Huawei и автоматически добавляет себя в список приложений, которым разрешена фоновая работа. Так вредоносное ПО избегает остановки системой и сохраняет контроль над устройством. Это особенно важно для троянов, поскольку производители часто принудительно завершают фоновые процессы ради экономии заряда батареи.
Возможности новой версии свидетельствуют о том, что авторы зловреда создают универсальный инструмент для дистанционного управления заражёнными устройствами. Учитывая рост числа нацеленных приложений и стран, ToxicPanda 2.0 представляет серьёзную угрозу для пользователей Android по всему миру. По сравнению с ранними вариантами, новая версия способна наносить более значительный ущерб. Сочетание перехвата экранных данных, автоматизации отладки и кражи паролей блокировки даёт злоумышленникам возможность не только опустошать счета, но и полностью завладевать устройством.
Для защиты рекомендуется устанавливать приложения только из официального магазина Google Play, регулярно обновлять операционную систему и обращать внимание на запрашиваемые разрешения. Также следует отключить режим разработчика и беспроводную отладку, если они не используются. Пользователям финансовых приложений стоит включать многофакторную аутентификацию и проверять, какие устройства имеют доступ к их счетам.
Индикаторы компрометации
