ToxicPanda 2.0: фальшивый VPN отключает защиту Android

Исследователи по мобильной безопасности обнаружили новую версию Android-трояна ToxicPanda, который использует разрешение на VPN, чтобы отключить встроенные механизмы защиты Google и затем украсть данные пользователей.

Как сообщает компания Zimperium, вредоносная программа действует незаметно: она показывает поддельный экран установки и просит включить VPN. Такая просьба выглядит привычно, поскольку легальные VPN-сервисы используют то же системное разрешение. Но ToxicPanda применяет его не для защиты трафика, а для атаки.

После получения доступа троян создаёт локальный сетевой интерфейс между смартфоном и интернетом. Через него он получает контроль над проходящим трафиком и сразу блокирует соединение с Google Play и Google Play Services. В результате Google Play Protect — встроенный в Android сервис, который проверяет приложения и может обнаруживать или удалять вредоносные программы, — теряет связь с устройством.

Отключение связи мешает проверке приложений, обновлениям и работе защитных механизмов. Оказавшись фактически «ослеплённым», смартфон позволяет ToxicPanda расшифровать спрятанную внутри него полезную нагрузку и установить дополнительную скрытую программу. Затем троян запрашивает разрешение Accessibility Service — специальной службы специальных возможностей, которая может читать содержимое экрана и выполнять действия вместо пользователя.

ToxicPanda 2.0 заметно опаснее первой версии. По данным Zimperium, новая модификация поддерживает 167 удалённых команд. Она способна показывать поддельные окна входа поверх 349 банковских, электронных кошельков и криптовалютных приложений в 16 странах. Ранее троян был рассчитан лишь на 16 приложений.

Отдельный модуль вредоносной программы крадёт PIN-коды более чем из 140 финансовых приложений с помощью невидимых наложений, которые перехватывают нажатия пользователя. Кроме того, троян может имитировать экран блокировки Android, чтобы получить PIN-код, графический ключ или пароль.

ToxicPanda также злоупотребляет функцией Wireless Debugging, известной как ADB. Она предназначена для отладки Android-устройств, но в руках трояна может дать доступ к командной оболочке и позволить выдавать себе разрешения без обычных запросов.

Первая версия ToxicPanda появилась в 2024 году и атаковала европейские банки. В последние месяцы похожая вредоносная программа Rokarolla также добралась до сотен банковских и криптовалютных приложений.

Главная защита — не пустить троян на смартфон. Устанавливайте приложения из официального Google Play и не загружайте APK-файлы по ссылкам, из рекламы или со сторонних сайтов. При этом одной подписи «официальный магазин» недостаточно для беспечности: опасные ссылки на VPN уже появлялись и в официальных магазинах приложений.

Любой неожиданный запрос на включение VPN следует воспринимать настороженно. Обычный VPN остаётся полезным инструментом приватности, но его разрешение даёт приложению значительный контроль над сетевым трафиком. Поэтому выдавать такой доступ стоит только программам, которым вы действительно доверяете.