Android kullanıcılarını hedef alan ToxicPanda zararlı yazılımının yeni sürümü, güvenlik mekanizmalarını devre dışı bırakmaya yönelik yetenekleriyle gündeme geldi. ToxicPanda 2.0 olarak adlandırılan yeni varyantın, VPN iznini kötüye kullanarak Google Play ve Google Play Hizmetleri ile cihaz arasındaki iletişimi engelleyebildiği ortaya çıktı. Zararlı yazılım ayrıca yüzlerce finans ve kripto para uygulamasını hedefleyen kapsamlı saldırı özelliklerine sahip.

VPN İzni Güvenlik Mekanizmalarını Aşmak İçin Kullanılıyor

Mobil güvenlik şirketi Zimperium tarafından incelenen ToxicPanda 2.0, kullanıcıdan VPN hizmeti izni aldıktan sonra cihaz üzerinde yerel bir ağ arayüzü oluşturabiliyor. Bu yapı sayesinde ağ trafiğini yönlendirebilen zararlı yazılım, Google Play ve Google Play Hizmetleri ile gerçekleştirilen bağlantıları engelleyebiliyor.

Bu yöntem, uygulama doğrulamaları, güvenlik güncellemeleri ve Google Play Protect tarafından gerçekleştirilen kontroller gibi cihazı korumaya yönelik işlemlerin aksatılmasına olanak tanıyabiliyor. Zararlı yazılım daha sonra kendi bileşenlerini çalıştırarak Android’in Erişilebilirlik Servisi izinlerini de elde etmeye çalışıyor.

349 Uygulama ve 167 Uzaktan Komut

ToxicPanda 2.0’ın yetenekleri yalnızca güvenlik kontrollerini aşmakla sınırlı değil. Yeni sürümün 167 farklı uzaktan komutu desteklediği ve bankacılık, finans, kripto para ve dijital cüzdan kategorilerindeki 349 uygulamayı hedeflediği belirtiliyor.

Zararlı yazılım ayrıca yüzlerce finans ve kripto para uygulamasını hedef alabilecek kapsamlı saldırı özelliklerine sahip. Bazı örneklerde, gerçekleştirilen kötü amaçlı işlemleri kullanıcıdan gizlemek amacıyla sahte sistem güncelleme ekranlarının da kullanıldığı tespit edildi.

Android ADB Özelliği de Kötüye Kullanılıyor

Yeni sürümün dikkat çeken özelliklerinden biri de Android Debug Bridge’in kablosuz bağlantı özelliğinden yararlanması. ToxicPanda, Erişilebilirlik Servisi izinlerini kullanarak geliştirici seçeneklerini ve kablosuz hata ayıklama özelliğini etkinleştirebiliyor. Ardından ADB eşleştirme bilgilerini elde ederek cihaz üzerinde ek komutlar çalıştırabiliyor.

Bu yöntem, saldırganların bazı güvenlik kısıtlamalarını aşmasına, zararlı yazılımın cihazdaki kalıcılığını artırmasına ve kullanıcıdan ek onay gerektirmeyen bazı işlemleri gerçekleştirmesine olanak sağlayabiliyor. ToxicPanda 2.0’ın gelişimi, Android zararlı yazılımlarının yalnızca kullanıcı verilerini çalmaya değil, işletim sisteminin güvenlik mekanizmalarını ve cihaz üzerindeki kontrol noktalarını kötüye kullanmaya da odaklandığını gösteriyor.