Android-pankkitroijalaiset tehostuvat – ToxicPanda 2.0 murtautuu jopa 349 sovellukseen

Vuonna 2024 ToxicPanda-pankkitroijalainen tunkeutui vasta noin 16 sovellukseen.

Uusin versio ylsi jo 349 sovellukseen 16 maassa.

Zimperium zLabsin tutkijat julkaisivat havainnot 19. elokuuta ja nimesivät haittaohjelman ToxicPanda 2.0:ksi.

Se pystyy antamaan tartunnan saaneelle laitteelle jopa 167 erilaista etäkomentoa, mikä tekee siitä yhden laajimmista tunnetuista Android-pankkitroijalaisista.

Haittaohjelma väärinkäyttää Androidin saavutettavuuspalvelua kahdella tavalla. Ensin se ottaa käyttöön laitteen langattoman vianetsinnän, ja sen jälkeen se hankkii tätä kautta ADB-komentorivipääsyn koko laitteeseen.

Komentorivipääsy ei jää sivuseikaksi. Sen avulla hyökkääjä voi asentaa lisää haittaohjelmia, lukea ja kopioida tiedostoja sekä ohjata laitetta lähes kuin se olisi fyysisesti hänen käsissään.

Ruudulla ei tällöin näy mitään poikkeavaa.

Asennuksen aikana näytölle ilmestyy väärennetty järjestelmäpäivitysnäkymä. Se saa käyttäjän luulemaan koko toimenpidettä tavalliseksi laitepäivitykseksi.

Onnistuneen tartunnan jälkeen ToxicPanda 2.0 voi ylikirjoittaa laitteen lukitusnäytön PIN-koodin. Oikea omistaja lukitaan tällöin ulos omasta puhelimestaan, kun taas hyökkääjä säilyttää pääsyn laitteeseen.

– ToxicPanda 2.0 osoittaa, miten nopeasti mobiilihaittaohjelmat kehittyvät edelleen, kertoo Nico Chiaraviglio, Zimperium zLabsin pääasiantuntija.

Levitys tapahtuu Amazonin AWS-tallennuspalveluun sijoitettujen tiedostojen kautta. Asennuspolku on rakennettu näyttämään aidolta sovelluspäivitykseltä, jotta epäluulo ei herää.

Tunnetun pilvipalvelun käyttö tekee tempusta uskottavamman kuin lataus tuntemattomasta osoitteesta. Käyttäjä näkee tutun verkko-osoitteen alun eikä osaa epäillä, että lopullinen tiedosto on haittaohjelma.

ToxicPandan juuret Italiassa

ToxicPanda itse ei ole uusi tulokas. Cleafy Labsin tutkijat tunnistivat sen ensimmäisen kerran loka-marraskuussa 2024, jolloin haittaohjelma osoittautui Aasiasta lähtöisin olevaksi ja aiemmin tuntemattomaksi pankkitroijalaisperheeksi.

Haittaohjelma iski aluksi Italiaan ja levisi sittemmin Portugaliin ja Espanjaan, jotka kattoivat yli 85 prosenttia tuolloin arvioiduista 1 500–3 000 tartunnasta, ja tartuntoja havaittiin myös Kreikassa, Marokossa ja Perussa. Uudessa raportissa ei julkaistu tarkkaa listaa kohdemaista – ainoastaan kokonaismäärä 16.

Cleafy arvioi tuolloin kehittäjien testanneen haittaohjelmaa ensin kotimarkkinoillaan ennen laajentumista Eurooppaan ja Latinalaiseen Amerikkaan. Kahden vuoden aikana kehittäjät ovat siis siirtyneet muutamasta kymmenestä sovelluksesta lähes 350:een, ja etäkomentojen valikoima on kasvanut samassa tahdissa.

Android on Suomessakin valtaosan älypuhelimista käyttöjärjestelmä, joten kohdemaiden lista ei sulje pois muita markkinoita. Kumpaakaan haittaohjelmaperhettä ei kuitenkaan mainita Kyberturvallisuuskeskuksen tai poliisin tiedotteissa, eikä yksittäistä suomalaista tartuntaa ole vahvistettu.

GoldDigger sai naamiointipäivityksen

Toinen Android-pankkihaittaohjelma, GoldDigger, sai niin ikään päivityksen tällä viikolla. Group-IB dokumentoi perheen lokakuussa 2023 ja yhdisti sen kiinankieliseen GoldFactory-ryhmään, joka on kehittänyt myös GoldPickaxe- ja GoldKefu-haittaohjelmat.

GoldDigger naamioituu tyypillisesti pankin tai viranomaisen sovellukseksi, jonka uhri asentaa luullen sitä lailliseksi. Asennuksen yhteydessä pyydetyt laajat käyttöoikeudet mahdollistavat myöhemmin tilien tyhjentämisen ilman erillistä lupaa.

IBM:n tutkijat ovat seuranneet samaa GoldFactory-ryhmää ja toteavat Group-IB:n havainnon paikkansapitäväksi: kyseessä on aktiivinen, useita rinnakkaisia haittaohjelmatyökaluja ylläpitävä toimija, ei yksittäinen kertaluontoinen kampanja.

GoldDiggerin ydintekniikka ei ole uusi tänä vuonna.

Jo alkuperäisessä 2023 versiossa haittaohjelma syöttää laitteelle kosketuksia, jotka jäljittelevät käyttäjän omia eleitä suoraan aidon pankkisovelluksen sisällä sen sijaan, että se näyttäisi väärennettyä peittokuvaa. Tekniikka on hankalampi havaita juuri siksi, ettei ruudulla näy mitään ylimääräistä kerrosta.

Uutta on niin sanottu dpt-shell-pakkausmenetelmä, joka vaikeuttaa koodin analysointia.

Mukaan tulivat myös suojaukset, jotka tunnistavat ja torjuvat tietoturvatutkijoiden käyttämiä Frida- ja ptrace-työkaluja, joilla haittaohjelmia yleensä puretaan osiin laboratorio-olosuhteissa.

Käynnissä oleva kampanja naamioituu lentoyhtiöiden ja vähittäiskauppojen sovelluksiksi.

Tutkijat kuvaavat tartuntoja laajoiksi sekä Etelä-Afrikassa että Isossa-Britanniassa, ja kampanja on tutkijoiden mukaan yhä käynnissä.

Tunnistusmerkit

• Sovellus pyytää saavutettavuuspalvelun käyttöoikeutta ilman selvää syytä
• Näytölle ilmestyy odottamaton "järjestelmäpäivitys"-ilmoitus asennuksen yhteydessä
• Laite pyytää laitehallintaoikeuksia (Device Administrator), joita käyttäjä ei ole itse käynnistänyt
• Lukitusnäytön PIN-koodi ei enää toimi tai vaihtuu itsestään
• Sovellus on peräisin APK-tiedostosta tekstiviestin tai mainoksen kautta, ei Play Kaupasta

Mitä tehdä

• Suhtaudu epäillen sovelluksiin, jotka pyytävät saavutettavuuspalvelun oikeuksia Play Kaupan ulkopuolelta
• Käsittele yllättävät järjestelmäpäivitysnäkymät ja pyytämättömät laitehallintapyynnöt varoitusmerkkeinä
• Asenna sovelluksia vain Play Kaupasta, älä tekstiviestin tai mainoksen APK-linkistä
• Jos epäilet tartuntaa, katkaise laitteen verkkoyhteys, älä syötä pankkitunnuksia, palauta laite tehdasasetuksiin ja ota yhteyttä pankkiin tilin jäädyttämiseksi tai seuraamiseksi
• Ilmoita epäillystä petoksesta poliisi.fi-palvelussa tekemällä rikosilmoitus, ja kalastelusta tai haittaohjelmasta Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi