ToxicPanda 2.0 Android Cihazlarda 349 Finansal Kurumu Hedef Alıyor
Zimperium zLabs araştırmacıları, daha önce Avrupa merkezli sınırlı bir tehdit olan ToxicPanda zararlı yazılımının, ToxicPanda 2.0 sürümüyle çok daha kapsamlı bir saldırı aracına dönüştüğünü raporladı. Yeni sürüm, 16 farklı ülkede 349 finansal kurumu hedef alırken, saldırganlara uzaktan komut gönderebilecekleri 167 farklı işlev sunuyor.
Zararlı yazılım, cihazlara sızmak için VPN izinleri talep eden sahte bir kurulum ekranı kullanıyor. Bu aşamadan sonra Google Play Protect iletişimini engelleyerek kendi zararlı yükünü deşifre ediyor. Geliştirici seçeneklerini aktif edip eşleşme kodlarını ekran üzerinden okuyabilen yazılım, kullanıcı fark etmeden cihaz üzerinde shell seviyesinde yetki kazanıyor.
Android'in Erişilebilirlik Servislerini (Accessibility Service) kötüye kullanan bu tehdit, ekran üzerindeki tüm kullanıcı arayüzü öğelerini izleyebiliyor. Bankacılık ve kripto para uygulamaları açıldığında, sahte giriş ekranları veya görünmez katmanlar oluşturarak PIN, parola ve desen bilgilerini doğrudan çalabiliyor. Ayrıca kilit ekranını taklit ederek cihazın ana şifresini de ele geçirebiliyor.
Saldırganlar, zararlı yazılım örneklerini dağıtmak için artık kişisel sunucular yerine Amazon AWS bulut depolama alanlarını kullanıyor. Bu yöntem, güvenlik birimlerinin IP engelleme süreçlerini zorlaştırarak zararlı içeriğin daha uzun süre yayında kalmasını sağlıyor. Yazılım; Xiaomi, Samsung ve Huawei gibi üreticilerin özelleştirilmiş Android sürümlerindeki izin diyaloglarını otomatik olarak onaylayabiliyor ve cihaz yönetimi API'lerini kullanarak kilit ekranı şifrelerini uzaktan sıfırlayabiliyor.
