Investigadores de ciberseguridad han alertado sobre dos variantes avanzadas de malware bancario para Android, ToxicPanda 2.0 y GoldDigger, que están expandiendo sus capacidades y alcance global. Estos troyanos bancarios están diseñados para realizar fraude directamente en los dispositivos móviles de las víctimas, comprometiendo información financiera y credenciales a través de sofisticadas técnicas.
ToxicPanda 2.0, también conocido como TgToxic, presenta mejoras significativas, incluyendo un conjunto de 167 comandos remotos y la capacidad de recolectar códigos PIN de más de 140 aplicaciones bancarias y de criptomonedas. Este malware abusa de los servicios de accesibilidad de Android para robar elementos de la interfaz de usuario, emplear mecanismos de robo de credenciales basados en superposiciones (overlays) que imitan aplicaciones legítimas, y atacar a 349 instituciones financieras en 16 países. Además, siphona credenciales de pantalla de bloqueo y utiliza el Depuración Inalámbrica de Android (ADB) para escalar privilegios y obtener acceso a nivel de shell. Su distribución se ha observado a través de buckets alojados en Amazon AWS, lo que indica el uso de infraestructura en la nube para la entrega de malware.
Por su parte, GoldDigger, atribuido al actor de amenazas GoldFactory, es conocido por su capacidad de realizar fraude en el dispositivo. Este troyano utiliza un empacador sofisticado llamado “dpt-shell” para ofuscar su código y evadir análisis, detectando herramientas como Frida y previniendo depuradores externos. La campaña actual de GoldDigger se enfoca principalmente en Sudáfrica y el Reino Unido, suplantando a aerolíneas y minoristas. Una vez instalado, solicita permisos de servicios de accesibilidad, que luego abusa para inyectar entradas en aplicaciones bancarias, imitando interacciones del usuario para iniciar transacciones fraudulentas. También puede proporcionar al atacante acceso en tiempo real a la pantalla de la víctima, capturar credenciales con superposiciones falsas y ejecutar aplicaciones en un entorno virtual para monitorear el comportamiento y interceptar datos sensibles. Su comunicación C2 se realiza a través de WebSocket, permitiendo solicitar permisos, recopilar contactos y mensajes SMS, grabar audio y video, y abrir URL o aplicaciones específicas.
Para mitigar estas amenazas, es crucial que los usuarios revisen y eliminen cualquier aplicación desconocida o sospechosa instalada en sus dispositivos. Se debe auditar cuidadosamente los permisos de las aplicaciones antes de otorgarlos y descargar software exclusivamente de fuentes y desarrolladores de confianza. Mantener los dispositivos actualizados con los últimos parches de seguridad es fundamental, al igual que habilitar la autenticación de dos factores (2FA) para todas las cuentas en línea y monitorear proactivamente las cuentas bancarias en busca de transacciones inusuales.
Qué significa para tu empresa: La proliferación de malware bancario móvil como ToxicPanda 2.0 y GoldDigger subraya la necesidad de una estrategia de seguridad integral que proteja los dispositivos de sus empleados. Implementar una robusta protección de endpoints EDR/XDR en todos los dispositivos, incluidos los móviles corporativos o personales utilizados para fines laborales (BYOD), es fundamental para detectar y responder a estas amenazas avanzadas. Adicionalmente, el fortalecimiento de la identidad y MFA (autenticación multifactor) se vuelve indispensable para proteger el acceso a las aplicaciones corporativas y financieras, incluso si una credencial es comprometida. Para una detección temprana y respuesta efectiva, un SOC con monitoreo 24/7 es clave para identificar actividades anómalas que puedan indicar una infección en progreso.
Fuente original: The Hacker News — ver artículo →