Este trojan bancário liga uma VPN para que a Google não verifique o seu trabalho
O que há de engenhoso no ToxicPanda 2.0 é o arranque. Antes de instalar a parte que rouba, mostra um falso ecrã de configuração a pedir autorização para montar uma VPN. Assim que toca em permitir, usa essa autorização para cortar o tráfego para a Google Play e os Google Play Services, ou seja, exatamente aquilo que teria inspecionado e sinalizado o que vem a seguir. Só então desempacota a sua carga e pede permissões de acessibilidade.
A equipa zLabs da Zimperium publicou a análise na semana passada. A primeira versão do ToxicPanda visava um punhado de aplicações bancárias. Esta traz 167 comandos remotos e aponta a 349 aplicações de banca, finanças, carteira eletrónica e criptomoedas em 16 países. Pinta camadas invisíveis sobre a aplicação verdadeira para captar o que escreve, levanta um falso ecrã de bloqueio muito convincente para recolher o seu PIN (uma rotina dirigida a mais de 140 aplicações), abusa da ponte de depuração do Android para obter acesso de nível shell ao telemóvel e esconde a sua atividade atrás de um falso ecrã de "atualização do sistema". Existe até um comando chamado autoBoot que contorna as regras agressivas de economia de bateria dos telemóveis Xiaomi, OPPO, Vivo, Samsung e Huawei. Os instaladores estavam a ser servidos a partir de buckets de armazenamento da Amazon AWS.
Nada disto chega pela Play Store. Chega porque alguém toca numa ligação e instala à mão um APK: uma "nova aplicação do banco", um seguimento de encomendas, a versão gratuita de um jogo pago. A defesa é portanto entediante e funciona. Instale aplicações Android a partir da Play Store ou da loja do seu fabricante e de mais nenhum sítio, e trate qualquer pedido para montar uma VPN ou ativar a acessibilidade como uma paragem firme, porque muito pouco do que é legítimo precisa de uma, e quase nada das duas.
Telemóveis e PC partilham as mesmas contas, e é aí que isto toca a sua secretária. A verificação de privacidade e contas do Tendvane percorre a forma como está autenticado no Windows e o que essa conta expõe, o que vale uma olhada se também faz banca no ecrã grande.