ToxicPanda 2.0 to nowa, groźniejsza odsłona trojana bankowego atakującego urządzenia z Androidem, która potrafi przejąć kontrolę nad telefonem, wykraść dane logowania do banku i samodzielnie zlecać przelewy. Badacze z zLabs, zespołu firmy Zimperium zajmującego się bezpieczeństwem mobilnym, ustalili, że złośliwe oprogramowanie celuje już w 349 aplikacji bankowych, finansowych, portfeli cyfrowych oraz kryptowalutowych w 16 krajach. Sprawa pokazuje przy okazji, jak dziwaczny bywa proces nadawania nazw cyberzagrożeniom.
- ToxicPanda 2.0 dysponuje 167 zdalnymi komendami, co daje przestępcom niemal pełną kontrolę nad zainfekowanym urządzeniem.
- Pierwsza wersja malware’u pojawiła się w 2024 roku i została pierwotnie pomylona z innym trojanem bankowym o nazwie TgToxic.
- Firma Cleafy wykryła ponad 1500 zainfekowanych urządzeń, a atak dotknął 16 banków w Europie i Ameryce Łacińskiej.
- Ślady wskazują, że operatorzy złośliwego oprogramowania posługują się językiem chińskim, stąd drugi człon nazwy nawiązujący do pandy.
- Nie istnieje jeden globalny system nadawania nazw malware’owi, przez co ta sama zagrożenie może funkcjonować pod kilkoma różnymi nazwami jednocześnie.
Co potrafi ToxicPanda 2.0?
Najnowsza wersja trojana znacznie rozszerzyła swoje możliwości względem pierwowzoru z 2024 roku. Zamiast ograniczać się do kilkunastu banków europejskich i latynoamerykańskich, złośliwe oprogramowanie atakuje obecnie niemal 350 różnych aplikacji finansowych rozsianych po 16 krajach.
W praktyce oznacza to, że przestępca po zainfekowaniu telefonu może zdalnie sterować urządzeniem za pomocą 167 komend. Taka skala kontroli pozwala nie tylko na kradzież danych logowania, lecz także na inicjowanie transakcji bez wiedzy właściciela konta. Zimperium poinformowało o tych ustaleniach w komunikacie prasowym z 19 sierpnia.
Skąd wzięła się nazwa ToxicPanda?
Historia nazwy jest właściwie prostsza, niż mogłoby się wydawać. Badacze z Cleafy, którzy jako pierwsi opisali to zagrożenie, początkowo pomylili je z istniejącym już trojanem TgToxic. Dopiero dokładniejsza analiza kodu wykazała na tyle duże różnice, że zdecydowano się wydzielić nową rodzinę malware’u.
Drugi człon nazwy, czyli panda, nawiązuje do śladów wskazujących na chińskojęzycznych operatorów stojących za atakiem. Część toxic nie wymagała już żadnej dodatkowej kreatywności, biorąc pod uwagę charakter szkodliwego oprogramowania.
Kto właściwie nadaje nazwy malware’owi?
W świecie cyberbezpieczeństwa nie funkcjonuje żaden centralny rejestr, który przydzielałby oficjalne nazwy nowo odkrytym zagrożeniom. Zwykle prawo do nazwania danej rodziny malware’u przypada firmie lub badaczowi, który jako pierwszy ją opisał i opublikował wyniki analizy.
Problem w tym, że różne zespoły bezpieczeństwa mogą niezależnie od siebie natrafić na ten sam kod i nadać mu zupełnie inne nazwy. Microsoft otwarcie przyznał, że prowadzi to do sporego zamieszania. Nazwa danej rodziny malware’u zależy w praktyce od tego, kto odkrył ją jako pierwszy, jak opisały ją media i jakich zasad nazewnictwa trzyma się dana firma. W efekcie ten sam złośliwy program potrafi zbierać kolejne pseudonimy szybciej, niż oszust zmienia hotele.
Czy istnieje jakiś oficjalny standard?
Pewna próba uporządkowania tego chaosu jednak istnieje. Microsoft korzysta ze schematu nazewnictwa opracowanego przez organizację CARO, czyli Computer Antivirus Research Organization. System ten pozwala określić typ zagrożenia, platformę, rodzinę oraz konkretny wariant danego malware’u.
Przykładowa, pełna nazwa detekcji Microsoftu może wyglądać tak: Trojan:MSIL/Solorigate.BR!dha. Brzmi to mało chwytliwie, za to jest precyzyjne i łatwe do wyszukania w bazach danych. Segment Trojan opisuje działanie oprogramowania, MSIL wskazuje platformę, Solorigate to nazwa rodziny, a BR oznacza konkretny wariant. Standard CARO powstał na początku lat 90 i wciąż jest szeroko stosowany, choć jak zauważa Virus Bulletin, poszczególni dostawcy wprowadzają do niego własne modyfikacje.
Dlaczego malware dostaje tak chwytliwe nazwy?
Obok suchych oznaczeń technicznych funkcjonuje jednak drugi, znacznie bardziej barwny nurt nazewnictwa, budowany z myślą o nagłówkach prasowych. Branża cyberbezpieczeństwa ma już swoją własną galerię takich przypadków.
- Roaming Mantis – nazwę nadał Kaspersky, ponieważ malware na Androida rozprzestrzeniał się wraz ze smartfonami przemieszczającymi się między różnymi sieciami Wi-Fi, choć to samo zagrożenie funkcjonuje też pod nazwami MoqHao oraz XLoader.
- Olympic Destroyer – atak wymierzony w systemy obsługujące zimowe igrzyska olimpijskie w Pjongczangu w 2018 roku, który zakłócił działanie Wi-Fi, druk biletów i skasował pliki, stąd teatralna nazwa dopasowana do teatralnego przebiegu ataku.
- Bad Rabbit – ransomware z 2017 roku podszywające się pod instalator Adobe Flash, zanim zaczęło szyfrować pliki ofiar, z nazwą przywodzącą na myśl bohatera bajki dla dzieci o poważnych zaburzeniach zachowania.
- Copybara, BingoMod i Medusa – trzy przedstawiciele współczesnej menażerii malware’u bankowego na Androida, wymieniane w badaniach Cleafy dotyczących ToxicPandy, przy czym Copybara zasługuje na szczególne uznanie za połączenie w jednym słowie skojarzeń z naruszeniem praw autorskich, kapibarą i kradzieżą pieniędzy.
Czy zabawne nazwy szkodzą, czy pomagają?
Chwytliwe nazwy pełnią realną funkcję praktyczną. Ułatwiają badaczom, dziennikarzom i zespołom bezpieczeństwa rozmawianie o skomplikowanych zagrożeniach bez konieczności cytowania długich sum kontrolnych plików przy każdej wzmiance. Wyrazista nazwa potrafi też wypromować nieznane wcześniej zagrożenie i sprawić, że trafi ono do szerszej świadomości opinii publicznej.
Ryzyko polega jednak na tym, że taki branding może dawać przestępcom darmowy rozgłos albo sprawiać, że poważne straty finansowe zaczynają brzmieć jak fabuła bajki dla dzieci.
Mimo tych wątpliwości parada nowych nazw z pewnością będzie trwać dalej. Gdzieś teraz jakiś badacz analizuje kilka tysięcy linijek złośliwego kodu i zastanawia się, czy świat właśnie poznał SneakyWalrusa, InvoiceFerreta czy może RansomLlamę. Pozostaje mieć nadzieję, że sama nazwa okaże się jedynym udanym elementem kariery takiego zagrożenia.