Новый банковский троян TgToxic атакует пользователей Android в Юго-Восточной Азии

[Artifact]

Хакеры научились автоматизировать атаки, имитируя нажатия и жесты пользователей.
Исследователи кибербезопасности из ИБ-компании Trend Micro сообщили о продолжающейся вредоносной кампании по распространению банковского трояна TgToxic, которая активна с июля 2022 года. Кампания включает в себя атаки на криптовалютные кошельки, нелегальные денежные переводы и кражу учетных данных из банковских и финансовых приложений пользователей Android в Тайване, Таиланде и Индонезии.
По мнению исследователей, злоумышленники используют вредоносное ПО под названием TgToxic, которое распространяется под видом легитимных приложений и продвигается с помощью фишинговых сайтов, связанных с криптовалютой и интимными услугами.
В своих атаках киберпреступники злоупотребляют легитимной тестовой средой Easyclick, чтобы написать JavaScript-сценарий для автоматического взлома пользовательского интерфейса Android-устройства. Этот сценарий позволяет автоматизировать такие действия, как клики и жесты.

TgToxic имитирует легитимные приложения (слева) и распространяется с помощью смишинга (справа)
Вредоносное ПО TgToxic сканирует криптовалютные кошельки и банковские приложения, и крадет учетные данные, введенные пользователем. Затем киберпреступники используют эти учетные данные для совершения небольших транзакций через официальное приложение, не требуя подтверждения пользователя. Кроме того, TgToxic может множество других действий, среди которых:

• получение списка контактов;

• предоставление доступа к СМС-сообщениям жертвы;

• фото с помощью камеры;

• автоматическое получение всех необходимых разрешений;

• установка сторонних приложений;

• собирает все электронные письма жертвы;

• автоматический перевод криптовалюты жертвы из установленных на устройстве приложений криптокошельков.

Эксперты заключили, что вредоносная программа TgToxic не сложная, но быстро развивается, получая новые функции. Объединение TgToxic с инфраструктурой автоматизации Easyclick, делает его еще более сложным для экспертов по кибербезопасности. У него есть потенциал для превращения в сложное вредоносное ПО и быстрого расширения своей деятельности на несколько географических регионов.