نسخه جدید تروجان بانکی TgToxic با ارتقاءهای ضد تحلیل تکامل یافته است

محققان امنیت سایبری نسخه‌ای به‌روزرسانی شده از بدافزار اندرویدی TgToxic (معروف به ToxicPanda) را کشف کرده‌اند که نشان می‌دهد مهاجمان پشت این تهدید به طور مداوم در پاسخ به گزارش‌های عمومی تغییرات ایجاد می‌کنند. این بدافزار که نخستین بار در اوایل ۲۰۲۳ توسط Trend Micro مستندسازی شد، یک تروجان بانکی است که قادر به سرقت اعتبارنامه‌ها و وجوه از کیف پول‌های رمزارز و همچنین اپلیکیشن‌های بانکی و مالی می‌باشد. این بدافزار از حداقل جولای ۲۰۲۲ در طبیعت شناسایی شده و عمدتاً بر کاربران موبایل در تایوان، تایلند و اندونزی متمرکز بوده است.

تحلیل جدید Intel 471 نشان می‌دهد که این بدافزار از طریق فایل‌های APK دراپر احتمالاً از طریق پیامک‌ها یا وب‌سایت‌های فیشینگ توزیع می‌شود. از بهبودهای قابل توجه می‌توان به قابلیت‌های بهبود یافته تشخیص شبیه‌ساز و به‌روزرسانی مکانیزم تولید URL فرمان و کنترل (C2) اشاره کرد. تغییر مهم دیگر، جابجایی از دامنه‌های C2 کدگذاری شده سخت به استفاده از انجمن‌هایی مانند انجمن توسعه‌دهندگان Atlassian برای ایجاد پروفایل‌های جعلی است که شامل رشته‌ای رمزگذاری شده و اشاره‌کننده به سرور C2 واقعی می‌باشد. نسخه‌های بعدی TgToxic کشف شده در دسامبر ۲۰۲۴ گام بیشتری برداشته و بر الگوریتم تولید دامنه (DGA) برای ایجاد نام‌های دامنه جدید به عنوان سرورهای C2 تکیه می‌کنند. گوگل در بیانیه‌ای اعلام کرد که بر اساس تشخیص فعلی، هیچ اپلیکیشنی حاوی این بدافزار در Google Play یافت نشده و کاربران اندروید به طور خودکار توسط Google Play Protect در برابر نسخه‌های شناخته شده این بدافزار محافظت می‌شوند.