En la última ola de malware para Android, los investigadores han identificado una táctica inquietante: un troyano que utiliza las propias funciones de VPN del teléfono para silenciar las protecciones de Google Play y facilitar la instalación de payloads maliciosos. Este enfoque, descrito en un informe de Zimperium, eleva el riesgo para usuarios de banca y cripto en múltiples países al permitir que el malware se filtre sin advertencias y acceda a datos sensibles desde el primer momento.

ToxicPanda 2.0 actúa primero como un dropper, una aplicación que oculta un segundo programa dentro de una instalación aparentemento normal. El atacante persuade a la víctima para que conceda permisos de VPN mediante una pantalla de instalación falsa que parece legítima. Esta trampa es especialmente eficaz, ya que muchos usuarios reconocen la solicitud de VPN como un paso común dentro de aplicaciones de seguridad o de red, y prueban “permitir” sin detenerse a evaluar el riesgo.

Con el permiso concedido, el malware crea una interfaz de red local entre el teléfono y la Internet, lo que le otorga control sobre todo el tráfico saliente. El siguiente paso es bloquear la conexión con Google Play y Google Play Services, lo que impide verificaciones, actualizaciones y la protección de Play Protect. Con la capa de seguridad “ciega”, ToxicPanda descarga e instala su payload oculto y, posteriormente, solicita permisos de Accessibility Service para profundizar aún más en el sistema.

La campaña representa una escalada significativa respecto a iteraciones anteriores de ToxicPanda. Según Zimperium, la versión 2.0 soporta 167 comandos remotos y puede superponer pantallas de inicio de sesión falsas en 349 apps de banca, billeteras y criptoactivos, repartidas en 16 países (un aumento sustancial frente a las 16 apps de la versión previa). Un módulo separado extrae PINs de más de 140 apps financieras mediante superposiciones invisibles que capturan tensiones de toque. Además, el troyano puede falsificar la pantalla de bloqueo de Android para robar PIN, patrón o contraseña, y explota la función de depuración inalámbrica (ADB) de Android para obtener acceso a nivel shell y otorgarse permisos sin intervenciones del usuario.

Este comportamiento plantea preocupaciones claras sobre la seguridad de dispositivos móviles: incluso herramientas de privacidad como VPN pueden convertirse en vectores de ataque cuando su poder se abuse. La aparición de ToxicPanda 2.0, que ya tiene presencia en múltiples mercados y se ha visto evolucionar rápidamente, subraya la necesidad de prácticas más rigurosas de seguridad y una mayor cautela por parte de los usuarios cuando se trata de permisos sensibles.

Cómo mantenerse protegido
– Instale aplicaciones únicamente desde Google Play Store y evite la instalación de APKs procedentes de enlaces, anuncios o sitios de terceros. Sirenas de advertencia: también existen VPNs maliciosas que pueden aparecer en tiendas oficiales, por lo que cualquier solicitud de VPN debe evaluarse críticamente.
– Confíe sus permisos de VPN y de Accessibility Service solo a apps de las que tenga certeza absoluta sobre su procedencia y finalidad.
– Mantenga el sistema y las apps actualizadas para beneficiarse de las últimas correcciones de seguridad y de las protecciones de Play Protect.
– Desconfíe de pantallas de inicio de sesión falsas o de pantallas que soliciten permisos inusuales; verifique la autenticidad de cada solicitud y cierre rápidamente cualquier diálogo sospechoso.

La historia de ToxicPanda 2.0 es un recordatorio contundente de que la seguridad móvil depende tanto de la prudencia del usuario como de la fortaleza de las protecciones del ecosistema. Aunque las VPN siguen siendo herramientas valiosas para la privacidad, su potencia debe ser manejada con cuidado y solo por aplicaciones de confianza.

from Latest from TechRadar https://ift.tt/pNUybIR
via IFTTT IA