Un nuevo troyano bancario denominado ToxicPanda ha sido identificado como responsable de la infección de más de 1.500 dispositivos Android en todo el mundo.
Distribución geográfica de las infecciones
La mayoría de los casos se han reportado en Italia, que representa un 56,8 % del total. Portugal representa un 18,7 % del total de casos. Hong Kong representa un 4,6 % del total de casos. España representa un 3,9 % del total de casos. Perú representa un 3,4 % del total de casos.
Origen y objetivos del troyano
Se cree que el troyano ha sido desarrollado por actores de habla china. El objetivo principal de ToxicPanda es iniciar transferencias de dinero desde dispositivos comprometidos mediante la toma de control de cuentas (ATO), utilizando una técnica conocida como fraude en el dispositivo (ODF).
Relación con otros troyanos
ToxicPanda comparte similitudes en sus fundamentos con TgToxic, otro troyano que roba credenciales y fondos de carteras de criptomonedas. ToxicPanda es una versión reducida del antecesor, sin rutinas de ofuscación, ATS ni Easyclick.
Funcionalidades y técnicas empleadas
Se han encontrado 33 nuevos comandos propios en ToxicPanda para recopilar datos de las víctimas. Se han encontrado 61 comandos a TgToxic y ToxicPanda. El troyano suplanta aplicaciones populares como Google Chrome, Visa y 99 Speedmart.
Se distribuye a través de páginas falsificadas que imitan los listados de tiendas de aplicaciones. Una vez instalado, ToxicPanda abusa de los servicios de accesibilidad de Android para obtener permisos elevados, manipular la entrada del usuario y capturar datos de otras aplicaciones.
ToxicPanda puede interceptar contraseñas de un solo uso (OTP), enviadas mediante SMS o aplicaciones de autenticación.
Detección y análisis por Cleafy
Cleafy afirma haber conseguido acceder al panel de administración del troyano, una interfaz gráfica que permite a los operadores ver la lista de dispositivos infectados e información sobre ellos y solicitar acceso remoto en tiempo real para realizar ODF.
Refactorización y detección por antivirus
Los investigadores concluyen que ToxicPanda está sufriendo un largo proceso de refactorización, dadas las similitudes con TgToxic y la existencia de código muerto y cierta información en los logs y ficheros de depuración. Las soluciones antivirus actuales han tenido problemas para detectar una amenaza que, técnicamente, es relativamente sencilla.
Riesgos asociados
- Infección de dispositivos Android con ToxicPanda.
- Transferencias fraudulentas mediante la toma de control de cuentas (ATO).
- Intercepción de contraseñas de un solo uso (OTP) para eludir protecciones de segundo factor de autenticación (2FA).
- Distribución a través de páginas falsificadas que imitan tiendas de aplicaciones.
Mitigaciones recomendadas
- Contar con sistemas de detección proactivos y en tiempo real.
- Evitar la instalación de aplicaciones desde fuentes no confiables.