Android-троян ToxicPanda 2.0 расширил список атакуемых финансовых приложений до 349

Троян распространяется через вредоносные приложения, размещённые в облачных хранилищах Amazon AWS. Это указывает на то, что злоумышленники перешли от собственных серверов к арендуемой облачной инфраструктуре. Установившись, вредоносная программа маскируется под системный процесс и через службу специальных возможностей Android (системную функцию, позволяющую приложениям читать экран и управлять им) получает доступ к содержимому экрана и возможность автоматически выполнять действия от имени пользователя. Первоначальная версия играет роль загрузчика: чтобы скрыть работу вредоносного кода, она запрашивает разрешение на использование VPN, а затем устанавливает на устройство настоящую вредоносную нагрузку.

Как сообщают аналитики zLabs, обновлённая панель управления трояна получила обозначение v2, а число вредоносных команд возросло до 167. Исследователи отмечают, что многие команды, которые в предыдущей версии были лишь задекларированы, теперь полностью работоспособны. Это касается прежде всего автоматизации действий с системными диалогами, а также операций, связанных с получением прав администратора устройства.

Новая функциональность включает автоматизацию беспроводной отладки Android. Злоумышленники заставляют троян самостоятельно включать режим разработчика, открывать меню беспроводной отладки и извлекать код сопряжения. Таким образом вредоносная программа получает привилегии системного пользователя и может выполнять команды с повышенными правами, не привлекая внимание владельца устройства. Это позволяет ей выдавать себе разрешения, снимать ограничения фоновой работы и укрепляться в системе. Процесс автоматизирован и включает несколько этапов: проверку режима разработчика, переход к настройкам, активацию беспроводной отладки и получение кода сопряжения.

Ещё одна новая возможность - перехват данных, вводимых на экране блокировки. Троян рисует поверх реального экрана поддельный интерфейс, неотличимый от настоящего. Когда жертва вводит PIN-код, графический ключ или пароль, эти данные уходят на командно-контрольный сервер (C2-сервер, через который операторы управляют вредоносной программой). В некоторых случаях вредоносная программа показывает фальшивое окно "Системное обновление", которое скрывает активные фоновые действия и удерживает экран включённым. Это помогает обмануть пользователя и заставить его поверить, что устройство занято плановой процедурой, хотя на самом деле в это время происходят кража данных или установка дополнительных модулей.

Для кражи данных в приложениях банков и кошельков троян использует ту же технику наложения. Как только пользователь открывает одну из отслеживаемых программ, вредоносная нагрузка запрашивает с C2-сервера поддельную веб-страницу, повторяющую интерфейс входа. Поверх оригинального окна отображается фишинговый слой, и жертва, не подозревая обмана, вводит свои учётные данные. Затем введённая информация передаётся операторам. Вдобавок троян считывает список установленных приложений, а также иконки, и отправляет их на сервер, чтобы злоумышленники могли определить, какими банковскими сервисами пользуется жертва, и выбрать подходящие поддельные страницы. Троян также поддерживает динамическое обновление списка целей: операторы могут удалённо заменять перечень приложений и ключевых слов, добавляя новые объекты для кражи PIN-кодов. Кроме того, используются шаблоны, загружаемые с сервера в реальном времени, что позволяет быстро адаптировать фишинговые страницы под изменения дизайна банковских приложений.

Существенно расширился и набор удалённых команд. Например, команда автоматической навигации по системным диалогам позволяет трояну самостоятельно нажимать "Разрешить" или "Не ограничивать" в окнах операционной системы. Команда выдачи прав администратора принуждает владельца устройства предоставить программе администраторские полномочия, используя фразу "Системной службе требуются права администратора". Если пользователь соглашается, троян может менять пароль блокировки и полностью блокировать доступ к устройству. Другая команда позволяет удалённо загружать произвольное содержимое в полноэкранном окне для фишинга или обмана пользователя.

Для поддержания работоспособности на смартфонах разных марок троян определяет производителя устройства и адаптирует свои действия. В частности, он открывает фирменные меню энергосбережения Xiaomi, OPPO, Vivo, Samsung и Huawei и автоматически добавляет себя в список приложений, которым разрешена фоновая работа. Так вредоносное ПО избегает остановки системой и сохраняет контроль над устройством. Это особенно важно для троянов, поскольку производители часто принудительно завершают фоновые процессы ради экономии заряда батареи.

Возможности новой версии свидетельствуют о том, что авторы зловреда создают универсальный инструмент для дистанционного управления заражёнными устройствами. Учитывая рост числа нацеленных приложений и стран, ToxicPanda 2.0 представляет серьёзную угрозу для пользователей Android по всему миру. По сравнению с ранними вариантами, новая версия способна наносить более значительный ущерб. Сочетание перехвата экранных данных, автоматизации отладки и кражи паролей блокировки даёт злоумышленникам возможность не только опустошать счета, но и полностью завладевать устройством.

Для защиты рекомендуется устанавливать приложения только из официального магазина Google Play, регулярно обновлять операционную систему и обращать внимание на запрашиваемые разрешения. Также следует отключить режим разработчика и беспроводную отладку, если они не используются. Пользователям финансовых приложений стоит включать многофакторную аутентификацию и проверять, какие устройства имеют доступ к их счетам.

URL

• http://xcmtxc1oam1.s3.ap-south-1.amazonaws.com
• https://api.telegram.org/file/bot8331125434:AAEsxWq7_xZWUjN0IFLO3fTU54ZCBnZS4YI/documents/file_22526.apk
• https://api.telegram.org/file/bot8978201863:AAG4vnsJVOAbABfF6dXhhM8YJ14pd5LaxVw/documents/file_1389.apk
• https://cctvv2.com/panel
• https://ejjsi5fbl.s3.ap-southeast-1.amazonaws.com/
• https://g8688808.com
• https://googleplaydown.com/dUyFpz0Ai7Sp
• https://osy4u8pmu.s3.ap-southeast-1.amazonaws.com/
• https://svhc5arco.s3.ap-southeast-1.amazonaws.com/
• https://ui920fht4m1.s3.mx-central-1.amazonaws.com/
• https://www.v17001.com/panel
• https://www.w17907.com/panel

SHA256

• 03d7554964f5da90a15f48039a32e816a6158d41a4f5898c80ad1563809026f1
• 04a37e55db2e73a4af1f60bc25c4377237c73042bf01227f4c4ca05e1342cab5
• 051942c62e42763b18f55397e8019286c0feaff024a627d06acdf3dd1789b9bf
• 055fb3b21b7f1d321e9f2cc8cd1f5763cdd02f5fa2676cca349cdd996fe8d50d
• 0760d14622d3aea696a99ed3391a5882979c813910badf9f1e47694fb40d7f4b
• 0986ce05d83674df04da4af1e1c738d06af03940ec2f96322e2fe089cd7666db
• 0db8d3577c9328155483c333b5efe27f1550d5274f370566a17a4d6a699fc7e0
• 0facdd40f16c4b79880bdfbb5da9bb6cc98f8649172215e2280e7c79dacd1044
• 10589f22646095144883422c680a2c140ce368938973b7ef3b463d07bddd71ed
• 1199c3cb7707938f48c2611ae29699ad80a16132654f287c957edb36ccd74553
• 1376bc2d933e562dac29aa79017ccf63878c9d292d3a3d155fde7c0c7a07e44b
• 14bea15fff76a68ca101d97ae6494a65d93c9e62cae92583db610e2e10acb24a
• 15944138f8518c940f4a9e58396e491fd457da76aa43c5ea232d72f91c01dcd2
• 19dd5def1b19c18f1fc7db6c4fccdd60631f1dca5490da0cd68e8010ca244a54
• 1aae4a54a4c1b136cd78342a2c0265eb926f066760219bfbf3ce5e4b6a2657bd
• 1baea004e704d86d065d964322c0c34e6f5926079d8205b01c99024b1a78b6e3
• 1d0398b27bf978c99a59b5a97f893fc9832509d576fefa9d1bd303aa794ab053
• 1ebd7606d01f53c5e7bf0870b4c87d7a20a576ac0631464e307720e30e86e52b
• 1f42182cd6bdd162c47372f6ef7e8822fb873f1f4b03d5128832108a4eaa66ee
• 21557cae802ab1789e6b8d75ea77e5d6d14396eb2df0a79b93db1c5bc1b0d0aa
• 218eee9dd45e78b99f20baede972bf84e6f6c9ef3af34e5e9601abd493af029c
• 22a0acff09b7c5e251c49ab12a161779d2e929dc39c3e163b5f6472e620a2b2c
• 22e9bf11a1e5281bc2c28eac9a60af3c3b09366572fe36f538bc3be2bed50cc0
• 241462117dd975573e0cb1f157698997248a5805bf574258baeabd182a55ce9b
• 2449948914ebf6d38b8a882bec963dbcc7f375c2a47367bc9be23d118bc71a39
• 25eacd1f4c88582a56166c6ff6be096067c1962d4ba9f8280bb1a57643f03ade
• 290b4f9a3297f52af2e9344bac0a3f2e13efdaa7d01c24b5bb6d47420ce9f73f
• 2add3ad8532a7b59cbd26ffd0ecd25b2706c8feaabc0dcb42a91b578a6990af2
• 2ccf633ebfe55e5b44e2602b617e7be2b180aa85be74b0ecdc65b845ece3b0fa
• 2d5b155f88f765e895e45eef8c83ca414e60bf531ec553c86a2c92e750126c82
• 2df378e8b9c9e49c6e16d821beed8ab6f79fbefcfe1b4cb955935ff3bd781df9
• 2dfafd705ead36acc49c2658d4ca0e21dbde017275f3cb40b75284b63eeebd1a
• 305c2d9c1104a6ed9b7766a57fc1489427b640b875eaaa869e182fdc1b019422
• 31553e7088def7c155bf0d3b9cb85754f09dbec4d231aa3b157ff208b76edb54
• 3186b4cc4a6ef9ed9e357f974b296537851f8b396306a43f901dd1496173eb3e
• 3262d86c76b913d13b6785c1b2a4e8d4dde35e92732460766ba8b0e9b7952aa1
• 3309af0253c44e5e9a95de70777a3f3b37a68e7055051df8fa5ae99c3e610c15
• 34f1e4299db414f0beb89c12641f8df9fd1f1e00bf4b2aa11f8c9f072c4d4787
• 35e7357982afa73e75e23b5be7e0cf550059f0a2b30cc499f60e24a8185abf6d
• 371831552de11cbe7ec628b9a82c8ea5e8f01e3f17aac461d8fab2c164afdf00
• 3767f0528c634d6b413ea969050f2ba968ac58e08ae3703e44253385def94e6f
• 37c0c9b079dedfb55dfd9f079bd45cf36e9b0ef2702afe2fca614640bff45ac8
• 37ee9d0f4945c969cf40b47d83b154eeae52097d1881bef74ef4a49eb18112d8
• 3942695e93a82e540f0a4ddbe0d4c1e6a8e0a76777ea77de16ad6b15f249d91f
• 39a802f03a84f710c9ba0703d3cd39123831b15a92e79bd9c5ffb9ca598cc4ac
• 3c32b4359e53cdbf4d4d6f4bf12245ab606dd32f1a7931dc09808c6ac431f6e6
• 3c76887d942a2a1c02455070887e14015ea9fe63fc9e4777bfbc633ba29601d5
• 3ead5e2eec9b77066d661f5acdf82f5d82d18cedd3a3158a894dd29458533ec6
• 3fe32791759cde8da964bc632da41e2143673ddded77c6794d778ec519219fab
• 475c1ae3a0cb4b2a7a58ae3dc1b3e6fbdd87d7f5378dca106c13e2251d8a3b30
• 4a288f491013e58fa7a790338ecd528f943e86ce03d40488c4d9faf553efbce8
• 4aba7bae8b335b85f4b5836c4fb881c068e73b943d5deae267c3995af6ae22d7
• 4c748b453a22a82adf09159872473a1aae3853e46afbfb4df211991efc4900e2
• 51068804e899ca98ec83729efffc09261f57be7ab17b01167bf9e37bc3712c82
• 523991e78efc0de73bad86cdac182f6bba10b67c7c9ab0803e268efd65444769
• 52c5906eca4a45a4cd8b3eefb412d405f8ecd48c8c79c1da54fab835bd928c55
• 54dd20e9eca32c1f921afae4ba76f800ba973c6a35b17598edcbf2b1ff025f3f
• 5890f6378baf86d74d0cfdc9ed6a46f9e769da12512d645eb6f1d8a868b349ea
• 5be67145a12581c043b5370f3b909da9a0d2329f937ad2ac5dde18c8f59acefb
• 5ceb97514d87528f88a13616c2c4b2b13ccd239c583836df0460261360c849f4
• 6174d8867e02177913dd28e17e67aac03a0be80f6cf2640a53a2ec8dd68c8f03
• 63a1846fdd04b4e50c6b88f700be6dc5be9ad5feeda449e1a4a742824fc0e186
• 66500b3b4d582a418f608b8fe14c2c8bb6defcdefd30837dd3368bc3954474c6
• 6825990f0725b149fd3c1d3176c1820cd02dd3159f3835cabe4af70a98a448d5
• 689b22100067db05bbe59cecf7e0b51bbdc95ab84c64cd3046b3375977c9bf74
• 6a622b79aa2634b0ce77b6d2126ab575a8225f79b4c4c3b05cf520738a2b874b
• 6b85e5cea712e490eee0786a2ac67edc92c6ad8493b60f79a95cf06768b272ec
• 6ca69f5ecdfefb9e267745407b4400534dcacf25b500ac88a40ad267ab86b336
• 6cfcd5da210950dfa6da21fa806cca98df11430c55934da6286dd0faf661e624
• 6e227880b6513c27d7866134c26ecdfc27ef388598544975ef4bf163206fb19a
• 71a256a41b220a85c9a82d262163375569089652f9850795da1543159fa93be1
• 71e7c402b1e489b5f5c187d792abc0e140bcda925d7e0036b228dc964b94bc20
• 72a8fe68b4af92d3a45bfc38fa6a0c823fe82369c301f48a374451107b244368
• 74f0b7605af6d9393d59d094293111c29fedfbe9bb736cc7539a053442d078eb
• 768c8cb68f7890cb9d2c0cec3ba9836b3bfb78857aced597fd5ccdb6b77a5ffa
• 7ae20b91f76a26d1326dad2338359d23aead867fa5cc2eb951c05d577e6bb9fc
• 7d74115fae54798b5139c4ed7c785181b88d28fecfc7fab81549e174a14ab63d
• 8134b11f69f65f673c9eb4127db64dd27ba1de0a1871a1e4cd9a709ee1c94f15
• 82156990c18aa0b85970b9fa3c11e16545c4fc435ecebb92ed80c325dc83e953
• 82217603ce6a14a5e06bd5eaf20b87455f52063981b89e817acd0f4f63092359
• 824b8b94f852f5f070c227294f2bd2ab1d5ef6cd7a099db87230cba947af7026
• 83c1a9e276ab40a1b5226e3ffa8c17b97e41486070efedd14384aa69fa892190
• 86ca38618e8cd83fb1d18a24dc9db6fc48a1cb9cde2a199548597e7ddf5ee616
• 88148fc124226e0f40c821d8fd4f221efc1eabc10177e3b0f490edea5adf2911
• 89cae5e457705e16540f53f438c0ea578b6371015d9684e63c3b2869cd0b8c34
• 8b1c0b18569c97239c64957ff99a81f9a03e90347637627fe64d311f3bc6d6ef
• 8db26e0295316b8df1dd121199a93a869a5c1a6360f8054686e184127fc0afb5
• 8f4cc0777d90276f044834f862b3c73da8e00823aac2a6f5f142569dc858c9ef
• 90201cffce6680fa45a25459042564501c560f142b3a8cc9b9fdec2677643409
• 904739fde08fa62e1f77d4c7e787fe706cd2372bda7b7c67ae58677062b795ee
• 90e105bb10cabaef70e62680aae061ab731de649ff0503f42d52c78640a51215
• 93cac6575d273139c5eb736da159882fcf32ec1d6938114a6ba8b0b5cea3fb81
• 946d62b64e1d334abd674ff250342c089f27eab64485418895f98eda5e616bfd
• 95ccc098982c6b48abe0038cdd1f15c4bc1ed5cd95b569d58c59072fe4d0bb57
• 9652794e23ea40241d92dc5b2388798e793850082a6ddf63f61a4d194d1031dd
• 98bb8f0f4613f75f23e05822e1b0637fb28ef954c5af372eb9e915ea2a734614
• 9b33c1f05f1c3cfce73b08ce7f480623611096492d427b5e71221622b5cd95ef
• 9d913b26304e1b1838c60b845e8a8dbdb81fa10d3943e3adee978d28df56947d
• a6a67403d40d0d048dff30b34a013abba422ba1726a4d58cf1e4e8b0b50d5119
• a6a9babbd8c3ffd0801ccdaded12b55b7a3195289337a22145f0e4ece7984cbf
• a8a0fb66997cb80a1c8881436186b6f9c8b0480ec02949b2f90b61aa12d81bd4
• a9d431ba0e772ef50f9a8ef40037d75d29ce0bddba95d612d64bf9dc7f0dd732
• ae5f66b98563ab9ae022bdb97b15e1acea8ee0ddd70c8f943029812e886fc8c0
• af0405a18a76788c5da2711d22fa1576723ad9d9881202de61bd8f4116412fd6
• b04ad3e65fa732ad315b259e9daa68089f53807af01919b9df70f2dd3026000b
• b0b6f720d82a6f63376611334fc3c2db88e7ad89594473513de5d9601291cb07
• b1779e74b5d0d12c76332747b79f359fcdac861e3d85aa76247ce8fabbf0c26a
• b28da70868eccb02f7c2b6f8280db39f2bd0d2393453b0e0d977c48c94c7c8bc
• b3348d8437cca66fb66742be7252be52f459516ad1f505984fbb664ab192b170
• b4167cc0ffd4bd1889aaea17db410bc641e02537ac6ebbccb25e40d2be04431b
• b4342d7b9c237611e4d2b3ecabe351ae19d90e1e427a25910e5af9b4077707d7
• b55798ac775028ff2751e8cc30957c561df3cddb4f3f4ec86e501cbde154df8c
• bc1938a2483363df363cb6a049b98ccc21165b29083e7dd8a9d6dc521afa5218
• be3d9c427dceb3fa231135ae615a7341f8797de4b7a6ceae6afe825c03e09e5e
• bea00c8595bad5df3dfb0a5051eba4295f4f81886744893227dcc9f8384dc657
• c000425257c30a4e26bd0fbd983929d8162d7836d7a639083e9ba6ec6963c267
• c0628b8c7a42753ee0986a49682b9406ad37bb8b650d6ac90142a485acaa9cce
• c0aabe3d346c1b84c0067604563d65368b01e4df3b790032c03976f7fe09d3bf
• c0c53e9f4ab7a93c20a7af0e49d4b6fde9ed76c605849e6c13c61b07abbd0ca2
• c1e2a7765318cc5a038a2febe9061c5367ba9c657fcebc4d08b49d077590fe25
• c4240a4124f22c344ca67a6f585aa9877d7b57c949fcc84160aaba23ae36baf1
• c853df818ab2e8cb66aba7dc1d3e6c009efe4f951dd6c783e052c4ba1aa50642
• c86c9aff1a4f92ec212be36bf38a30495d0ac68a738d6cda92641077597af1af
• cca23611b6937113bdaa3114818b9c07ba12096afa42a4648a06a0e7781cdc1c
• ce65703cd7cca1f110494588b697dbd1d682be4f162437b1ee03c1aad4b24692
• d0b44b17f97097480fabd89c86a4dd3ed2e6e60c61a498f17bb722e3fb9cc0d7
• d1aaf431b8c4c2f6130713ae7d1593658fb4ab2dda69bda142ed64f9981c70ba
• d645f3c14f8f4d08d3f3da83d00b0099ef9dfd57fa841d0107f038437eafbc9b
• d816c03f5b93101b84f7a017105b8fbbf770410812d09c469d9bd6534831f559
• d82e6ff06aa1077ad2492aa1a9bd6e787d8a094521589039f1d3773e163ca59a
• d9b0374aad45b47f22c4ca33636e5a45e91b514b16cb8c72c25ac6f18072081e
• da240b9352248448e3875c9a47679070c42801a0c426d2daba3854470d99bd43
• db13754d34a282fa6abb3db1650dafb4e6595e6419f76389dc67154a1033f00e
• dd5b8389270fee48be837e55244c2e251cdf959ef579c4067b772c2f7a4dda15
• dd80e4a86448d7b85387fdae9e932c7803477bcc0846650e6748b87a1787d8da
• dfb1ac406a25852ae53dce0d23adc7dc053aab274965b4c4e4df8e6696304ed2
• e0f3bda1d5236c7881fe4447b1531d3c8c5456ecfef942640b9b0c1c3e470c1e
• e3871303098c9cdb77f55e3d536464bcec3e8284baaffb61b28d615dc3fe395e
• e42c64ed61ef51ed287f518a2228d2fac5457788276e700a27b76d7c1fd59c6e
• e59d1f0a0c708fd678a55e431fb9dd8f068887a459a7caf92ff310687821ffd1
• e8a4d5ad6fdf97ebd647f6e4ab218c18bb624114d445785b9579a80427ae6d67
• e8fb955be939d50a3e306a8485f9dd3f0a0cde43b268e547d2bcea30f96584c2
• ec1deb2aabeb73e29374de578193d9383da9ca41d6a927831be96fdd51b24cab
• edc3f15898f366180a584a44d2ce55bbca866925dad43645b91424d826aa7258
• ee0f00e189ebba27936288e76400b260d2ec92847bb41ec3a0c8b369e613513b
• ef48459e8c814944eb4d5b56339421084facfb6d36aef015da016b996a0d8e54
• f01eaadb6e243add1f70363588eab0eada6d596b9284f718996b38adf4a4f768
• f0b0a67f88d188ba7989d6ea174a37b78f9fced3b4027397e5488ea32f900f09
• f159c568d16795ce14558a13454b66686948c0c6e760330ce2c22cfd7b970c13
• f35bc416ce4bf0a357a3f1462398ebaadcfb1f64af9915aff380109f1e4e735f
• f456bbd8de30f58c2b986ad1b0bcbd48e1c21a5452c530ad5935af09c51313e0
• f531997f077c9e576269dcca12fd21f3e017522c1ef3940cb4933a697ad7f572
• f5557345f710d937cb1f61bdb11f6409b24416bb7d32bf4465f98439b079a291
• f5ebbe98bab20e11569b01e632d9abacf6536887ec115d2d44e163c612d8923b
• f65fc6eddb09d4f7b4892dbdec1b83708e86dcb1aecaaaddcf100cbd0fca3418
• f93424975511ad7bf8461f8552b350ac98000dd147c9214f480f4fec21cde198
• fa66027336615104bbac6b697456c26807573ce9b7be9a191cda6efe7d46644d
• fd38e4dc987a7ab3d35d892d7d478305472ef1bcdb6a3862dcd7f429fb9e9262
• fdbb580294f97ccdbb8f9370f0b8c1d8f81988f73dbd9f7753f9aa69e849117f
• fde5ec475637f9723989b3bed4a9b4140824622e01291c266d87a34928845a46