ToxicPanda 2.0 y GoldDigger: una evolución peligrosa

Los laboratorios de Zimperium (zLabs) han publicado un informe que revela la aparición de ToxicPanda 2.0, una variante del conocido troyano Android TgToxic. La actualización incluye "167 comandos remotos" y una serie de mejoras que aumentan su capacidad de control y evasión.

Expansión del objetivo

  • Cobertura global: la campaña ya no se limita a regiones específicas; se observa actividad en varios continentes.
  • Aplicaciones afectadas: el malware incorpora un módulo de captura de PIN que apunta a más de 140 aplicaciones de banca y criptomonedas, lo que permite robar credenciales directamente desde el dispositivo.
  • GoldDigger: el otro actor identificado comparte infraestructura y técnicas con ToxicPanda, reforzando la capacidad de fraude on‑device.

¿Cómo funciona?

  1. Instalación: suele llegar a través de tiendas de aplicaciones no oficiales o mediante enlaces de phishing.
  2. Activación: una vez en el dispositivo, el troyano descarga su lista de 167 comandos que le permiten, entre otras cosas, interceptar la entrada del usuario.
  3. Robo de PIN: cuando el usuario introduce su PIN en una aplicación bancaria, el malware lo registra y lo envía a servidores de comando y control.
  4. Exfiltración: los datos robados se utilizan para realizar transferencias no autorizadas o para venderlos en mercados clandestinos.

"El flujo de captura de PIN está diseñado para operar de forma silenciosa y sin levantar sospechas" (zLabs).

Impacto y mitigación

  • Riesgo financiero: la combinación de un amplio catálogo de comandos y la capacidad de robar credenciales en tiempo real eleva la exposición de los usuarios a fraudes financieros.
  • Recomendaciones: limitar la instalación de aplicaciones a tiendas oficiales, mantener el sistema operativo actualizado y emplear soluciones de detección de comportamiento anómalo.

Cobertura de detección en DefensOps

  • Plan mínimo: Essential
  • Técnicas MITRE: N/A
  • Cobertura: detección genérica mediante nuestro motor de correlación, incluido en el plan Essential.

¿Estás cubierto en DefensOps?

Nuestro motor de correlación analiza eventos de Android en tiempo real y detecta patrones asociados a comandos remotos y a la captura de PIN, cubriendo las técnicas observadas en ToxicPanda 2.0 y GoldDigger. Con el plan Essential dispones de la protección básica necesaria para identificar y responder a este tipo de amenazas.

Consulta nuestros planes y solicita una demo para reforzar la seguridad de tus dispositivos Android.

Fuente: The Hacker News