גרסה חדשה של נוזקת הבנקאות ToxicPanda מנצלת הרשאות VPN כדי לחסום את Google Play

חוקרי אבטחת המובייל Zimperium חשפו גרסה משודרגת של נוזקת הבנקאות לאנדרואיד ToxicPanda, שמנצלת בקשת הרשאות VPN כדי לחסום תקשורת בין המכשיר הנגוע לבין Google Play ו-Play Protect – ההגנה המובנית של אנדרואיד מפני אפליקציות זדוניות. הגרסה החדשה מרחיבה משמעותית את היקף המיקוד לעומת הגרסה הקודמת.

הפרטים

ToxicPanda מתחזה לאפליקציה לגיטימית ומבקשת מהמשתמש הרשאות שירות VPN דרך מסך התקנה מזויף. ברגע שההרשאה מאושרת, הנוזקה יוצרת ממשק VPN מקומי ששולט בתעבורת הרשת של המכשיר – ובכך יכולה לחסום את התקשורת בין Google Play Protect לשרתי גוגל, מה שמונע בדיקות אבטחה, עדכונים והתראות שעלולות לחשוף אותה. בזמן שהחסימה פעילה, הנוזקה מתקינה בשקט את המטען הזדוני האמיתי מתוך קבצי האפליקציה עצמה.

לפי Zimperium, הגרסה החדשה תומכת ב-167 פקודות שליטה מרחוק ומטמיעה חלונות פישינג (overlay) עבור 349 אפליקציות בנקאות, ארנקי קריפטו וסליקה – עלייה חדה לעומת 16 אפליקציות בגרסה הקודמת – ומכוונת למשתמשים ב-16 מדינות. הנוזקה מופצת דרך דליי אחסון פתוחים ב-Amazon AWS, ומשתמשת גם ביכולת הפעלה אוטומטית שעוקפת מגבלות סוללה במכשירי Xiaomi, OPPO, Vivo, Samsung ו-Huawei כדי להבטיח שהיא תמשיך לפעול ברקע.

נקודות לשים לב

• התקינו אפליקציות רק מ-Google Play הרשמי, והתייחסו בחשד לכל בקשת הרשאת VPN מאפליקציה שאין לה סיבה ברורה לבקש אותה.
• בדקו בהגדרות המכשיר אם יש אפליקציות VPN פעילות שלא הגדרתם בעצמכם – זה הסימן המרכזי לזיהוי הדבקה מסוג זה.
• אם Google Play Protect מפסיק להציג עדכוני סריקה או מתנהג בצורה לא רגילה, זו יכולה להיות עדות לחסימת תקשורת מקומית – שווה לבדוק את רשימת ההרשאות של האפליקציות המותקנות.
• לצוותי אבטחה ארגוניים: היכולת לעקוף הגבלות סוללה ולהפעיל את הנוזקה מחדש אוטומטית מקשה על הסרה חלקית – מומלץ איפוס יצרן מלא במכשירים שאובחנו כנגועים, ולא רק הסרת האפליקציה החשודה.
• מדובר בנוזקה שדורשת התקנה מחוץ לחנות הרשמית וקבלת הרשאות מהמשתמש, לא בפגיעות במערכת ההפעלה עצמה – הימנעות מהתקנה מקבצי APK חיצוניים מפחיתה את הסיכון משמעותית.

מקורות: BleepingComputer · Security Affairs