2391
ediciones
sin resumen de edición
Sin resumen de edición |
Sin resumen de edición |
||
| Línea 1: | Línea 1: | ||
[[Categoría:Familias de malware]] | [[Categoría:Familias de malware]] | ||
'''ToxicPanda''' es un troyano bancario para dispositivos Android que ha evolucionado significativamente desde su detección inicial. Su última versión, conocida como '''ToxicPanda 2.0''', representa un salto cualitativo en sofisticación y alcance, convirtiéndose en una de las amenazas móviles más peligrosas del momento. | |||
= ToxicPanda = | |||
'''ToxicPanda''' es un troyano bancario para dispositivos Android que ha evolucionado significativamente desde su detección inicial. Su última versión, conocida como '''ToxicPanda 2.0''', representa un salto cualitativo en sofisticación y alcance, convirtiéndose en una de las amenazas móviles más peligrosas del momento. | |||
A diferencia de otros troyanos bancarios, ToxicPanda se caracteriza por su capacidad para abusar de funciones legítimas de Android, como los servicios de accesibilidad y la depuración inalámbrica (ADB), para tomar el control total del dispositivo y ejecutar fraudes directamente desde el teléfono de la víctima. | |||
== Origen y evolución == | == Origen y evolución == | ||
ToxicPanda fue identificado por primera vez en 2022 en el sudeste asiático | === Primera etapa (2022-2023) === | ||
ToxicPanda fue identificado por primera vez en '''2022''' en el sudeste asiático, donde operaba con capacidades limitadas y una distribución geográfica restringida. | |||
=== Expansión a Europa (2024) === | |||
En '''2024''', sus campañas se trasladaron a Europa, afectando principalmente a '''Portugal, Italia y España''', con una botnet activa de más de '''1.500 dispositivos infectados'''. | |||
La versión 2.0, descubierta por el equipo de investigación zLabs de Zimperium, ha ampliado drásticamente sus capacidades y su objetivo | === ToxicPanda 2.0 (2024-2025) === | ||
La versión '''2.0''', descubierta por el equipo de investigación zLabs de Zimperium, ha ampliado drásticamente sus capacidades y su objetivo: | |||
* '''349 aplicaciones''' bancarias, financieras, de carteras digitales y de criptomonedas en '''16 países'''. | |||
* Módulo específico para robar PINs de '''140 aplicaciones''' financieras y de criptomonedas. | |||
* Soporte para '''167 comandos remotos''' diferentes, permitiendo un control granular del dispositivo. | |||
== ¿Cómo funciona? == | == ¿Cómo funciona? == | ||
ToxicPanda 2.0 se basa en una combinación de técnicas que abusan de funciones legítimas de Android para tomar el control del dispositivo. El objetivo final es el '''fraude en el propio dispositivo''', lo que significa que los atacantes operan desde el teléfono infectado de la víctima para eludir los sistemas de seguridad bancaria. | ToxicPanda 2.0 se basa en una combinación de técnicas que abusan de funciones legítimas de Android para tomar el control del dispositivo. El objetivo final es el '''fraude en el propio dispositivo''', lo que significa que los atacantes operan desde el teléfono infectado de la víctima para eludir los sistemas de seguridad bancaria. | ||
=== 1. Distribución e ingeniería social === | |||
La infección comienza con una campaña de '''ingeniería social'''. El malware se distribuye a través de archivos APK alojados en buckets de Amazon AWS. | La infección comienza con una campaña de '''ingeniería social'''. El malware se distribuye a través de archivos APK alojados en buckets de '''Amazon AWS'''. Los atacantes engañan a los usuarios para que descarguen e instalen una aplicación maliciosa que simula ser legítima ('''sideloading'''). | ||
=== 2. Permiso VPN: Bloqueo de Google Play === | |||
Una vez instalada, la aplicación "dropper" solicita al usuario permisos de '''VPN''' (Red Privada Virtual). | Una vez instalada, la aplicación "dropper" solicita al usuario permisos de '''VPN''' (Red Privada Virtual). Al conceder este permiso, ToxicPanda crea una interfaz de red local que le permite controlar y bloquear el tráfico entrante y saliente del dispositivo. | ||
Con este control, el malware '''bloquea las comunicaciones con Google Play y Google Play Services'''. | Con este control, el malware '''bloquea las comunicaciones con Google Play y Google Play Services'''. Esto impide: | ||
* La verificación de aplicaciones. | |||
* Las actualizaciones de seguridad. | |||
* La comunicación con Google Play Protect. | |||
Este bloqueo dificulta la detección y eliminación del malware. | |||
=== 3. Abuso de los Servicios de Accesibilidad === | |||
Tras bloquear Google Play, el malware extrae e instala su carga maliciosa (payload) y solicita permisos de '''Accesibilidad''' (Accessibility Service). Si el usuario concede este permiso, ToxicPanda obtiene un control inmenso sobre el dispositivo, pudiendo: | |||
* '''Leer el contenido de la pantalla''' para extraer información. | |||
* '''Simular toques''' para navegar por el sistema y aceptar permisos por sí mismo. | |||
* '''Crear "superposiciones" (overlays)''' para mostrar pantallas falsas sobre aplicaciones legítimas. | |||
=== 4. Captura de credenciales y PINs === | |||
Con el control de la Accesibilidad, ToxicPanda 2.0 puede robar credenciales de dos formas principales: | Con el control de la Accesibilidad, ToxicPanda 2.0 puede robar credenciales de dos formas principales: | ||
* | * '''Superposiciones invisibles''': Cuando el usuario abre una aplicación bancaria o de criptomonedas, el malware superpone una capa transparente que captura los toques en la pantalla, robando el PIN o la contraseña sin que el usuario lo note. | ||
* | * '''Pantalla de bloqueo falsa''': ToxicPanda puede mostrar una pantalla de bloqueo de Android falsa e idéntica a la real para interceptar el PIN, patrón o contraseña de desbloqueo del dispositivo. | ||
=== 5. Secuestro de ADB inalámbrico (Wireless Debugging) === | |||
La característica más sofisticada de ToxicPanda 2.0 es su capacidad para abusar del '''Android Debug Bridge (ADB)''' de forma inalámbrica. | La característica más sofisticada de ToxicPanda 2.0 es su capacidad para abusar del '''Android Debug Bridge (ADB)''' de forma inalámbrica. | ||
Una vez que tiene permisos de Accesibilidad, el malware: | Una vez que tiene permisos de Accesibilidad, el malware: | ||
| Línea 46: | Línea 65: | ||
2. **Activa la Depuración Inalámbrica**: Navega a la sección de Depuración Inalámbrica en los ajustes y la activa. | 2. **Activa la Depuración Inalámbrica**: Navega a la sección de Depuración Inalámbrica en los ajustes y la activa. | ||
3. **Se empareja con ADB**: Lee el código de emparejamiento de seis dígitos y el puerto que aparecen en pantalla, y establece una conexión con el servicio ADB local. | 3. **Se empareja con ADB**: Lee el código de emparejamiento de seis dígitos y el puerto que aparecen en pantalla, y establece una conexión con el servicio ADB local. | ||
4. **Obtiene acceso a la shell**: Una vez emparejado, el malware ejecuta comandos con permisos de "shell", que tienen un alto nivel de privilegio. | 4. **Obtiene acceso a la shell**: Una vez emparejado, el malware ejecuta comandos con permisos de "shell", que tienen un alto nivel de privilegio. | ||
Con acceso a la shell, el malware puede ejecutar comandos para: | Con acceso a la shell, el malware puede ejecutar comandos para: | ||
* Otorgarse permisos adicionales a sí mismo. | |||
* Desactivar restricciones de ahorro de batería para garantizar su persistencia en dispositivos de marcas como Xiaomi, OPPO, Vivo, Samsung y Huawei. | * Otorgarse permisos adicionales a sí mismo. | ||
* Desactivar restricciones de ahorro de batería para garantizar su persistencia en dispositivos de marcas como Xiaomi, OPPO, Vivo, Samsung y Huawei. | |||
* Activar componentes críticos sin notificación. | * Activar componentes críticos sin notificación. | ||
* Establecer mecanismos de persistencia profunda en el sistema. | * Establecer mecanismos de persistencia profunda en el sistema. | ||
== Capacidades | == Capacidades técnicas == | ||
| Característica | Detalle | | |||
|----------------|---------| | |||
| '''Comandos remotos''' | Soporta 167 comandos remotos diferentes para control granular | | |||
| '''Actualización dinámica''' | La lista de aplicaciones objetivo se actualiza desde el servidor C2 | | |||
| '''Exfiltración de datos''' | Utiliza HTTPS/WebSockets para comunicarse con el C2 | | |||
| '''Evasión''' | Bloquea Google Play Protect y ofusca su código | | |||
| '''Cifrado''' | Utiliza AES-ECB para cifrar sus comunicaciones | | |||
== | == Mitigaciones recomendadas == | ||
Para protegerse contra ToxicPanda y otros troyanos bancarios similares, se recomiendan las siguientes medidas: | |||
* | === Para usuarios === | ||
* | |||
* | * '''Evitar el "sideloading"''': No instale aplicaciones de fuentes no oficiales o a través de enlaces sospechosos en mensajes o anuncios. | ||
* | * '''Desconfiar de permisos excesivos''': Sea especialmente cauteloso si una aplicación solicita permisos de: | ||
* VPN | |||
* Accesibilidad | |||
* Administrador de dispositivos | |||
* Opciones de desarrollador | |||
* Depuración inalámbrica | |||
Si no hay una razón clara para ello, deniegue el permiso. | |||
* '''Mantener el software actualizado''': Mantenga el sistema operativo y las aplicaciones actualizadas para beneficiarse de los parches de seguridad. | |||
* '''Usar una solución de seguridad móvil''': Instale una solución antimalware para dispositivos móviles que ofrezca protección en tiempo real. | |||
=== Para organizaciones === | |||
* '''Implementar políticas de MDM''' (Mobile Device Management): Para controlar qué aplicaciones pueden instalarse en los dispositivos corporativos. | |||
* '''Restringir la instalación de aplicaciones de fuentes desconocidas''': Mediante políticas de grupo o soluciones de gestión de dispositivos. | |||
* '''Monitorizar el tráfico de red''': Detectar patrones de comunicación con C2 sospechosos. | |||
* '''Formación y concienciación''': Capacitar a los empleados sobre los riesgos de la instalación de aplicaciones no oficiales. | |||
== Relación con otros conceptos == | == Relación con otros conceptos == | ||
| Línea 74: | Línea 112: | ||
* '''[[Troyanos]]''': ToxicPanda es un troyano que se hace pasar por una aplicación legítima. | * '''[[Troyanos]]''': ToxicPanda es un troyano que se hace pasar por una aplicación legítima. | ||
* '''[[Malware]]''': Es un tipo de software malicioso diseñado para Android. | * '''[[Malware]]''': Es un tipo de software malicioso diseñado para Android. | ||
* '''[[Ingeniería Social]]''': Su principal vector de infección es el engaño al usuario | * '''[[Ingeniería Social]]''': Su principal vector de infección es el engaño al usuario. | ||
* '''[[Cifrado]]''': Utiliza cifrado (como AES-ECB) para sus comunicaciones C2. [ | * '''[[Cifrado]]''': Utiliza cifrado (como AES-ECB) para sus comunicaciones C2. | ||
* '''[[Spyware]]''': Capacidades de espionaje mediante la lectura de pantalla y captura de credenciales. | |||
* [[Mitigaciones Troyanos|Relación de acciones para mitigar el riesgo de esta actividad maliciosa]]. | * [[Mitigaciones Troyanos|Relación de acciones para mitigar el riesgo de esta actividad maliciosa]]. | ||
== Véase también == | == Véase también == | ||
| Línea 87: | Línea 125: | ||
* [[Spyware]] | * [[Spyware]] | ||
* [[Ciberdelincuentes]] | * [[Ciberdelincuentes]] | ||
* [[Ingeniería | * [[Ingeniería Social]] | ||
* [[Anubis]] | * [[Anubis]] | ||
* [[Joker]] | * [[Joker]] | ||