ToxicPanda Kuasai Perangkat Android

ToxicPanda Kuasai Perangkat Android – Malware Android ToxicPanda kembali berevolusi. Varian terbarunya, ToxicPanda 2.0, membawa kemampuan yang jauh lebih agresif untuk mengendalikan perangkat korban, mencuri informasi, dan mempertahankan keberadaannya di dalam sistem.

Menurut analisis peneliti keamanan, versi terbaru ini telah memperluas jangkauan serangannya dengan menargetkan 349 aplikasi perbankan, keuangan, cryptocurrency, dan e-wallet di 16 negara.

Malware ini juga dilengkapi 167 perintah jarak jauh yang memungkinkan operator menjalankan berbagai tindakan pada perangkat yang telah terinfeksi.

Yang membuat perkembangan ini semakin mengkhawatirkan adalah kemampuan ToxicPanda 2.0 memanfaatkan sejumlah fitur resmi Android, termasuk VPN Service, Accessibility Service, dan Wireless Debugging melalui Android Debug Bridge (ADB).

Memanfaatkan VPN untuk Mengganggu Komunikasi

ToxicPanda 2.0 kini meminta izin VPN Service. Setelah memperoleh izin tersebut, malware dapat membuat antarmuka jaringan lokal sehingga lalu lintas internet perangkat dapat melewati komponen yang dikendalikan malware.

Kemampuan ini kemudian dimanfaatkan untuk mengganggu komunikasi dengan layanan tertentu, termasuk:

• Google Play
• Google Play Services
• layanan pemeriksaan aplikasi
• mekanisme pembaruan aplikasi
• komunikasi Google Play Protect

Dengan memutus atau mengganggu komunikasi tersebut, malware dapat menghambat sejumlah mekanisme yang seharusnya membantu menjaga keamanan perangkat.

Setelah mendapatkan akses jaringan, ToxicPanda 2.0 melanjutkan tahap berikutnya dengan meminta Accessibility Service.

Accessibility Service Dijadikan Senjata

Accessibility Service merupakan fitur Android yang dirancang untuk membantu pengguna dengan kebutuhan aksesibilitas. Namun, ketika diberikan kepada aplikasi berbahaya, izin ini dapat menjadi sangat berbahaya.

ToxicPanda dapat memanfaatkannya untuk:

• Membaca elemen tertentu pada layar;
• Melakukan interaksi dengan aplikasi;
• Memantau input pengguna;
• Membantu mengaktifkan pengaturan sistem tertentu; dan
• Menjalankan rangkaian tindakan secara otomatis.

Kemampuan tersebut kemudian digunakan ToxicPanda untuk melakukan serangan terhadap aplikasi yang menjadi target.

Mengincar 349 Aplikasi Keuangan

Salah satu kemampuan utama ToxicPanda 2.0 adalah menggunakan phishing overlay. Malware menampilkan tampilan yang menyerupai aplikasi asli ketika korban membuka aplikasi yang menjadi target.

Korban dapat mengira sedang berinteraksi dengan aplikasi perbankan atau dompet digital yang sebenarnya. ToxicPanda 2.0 diketahui menargetkan:

• 349 aplikasi perbankan, keuangan, cryptocurrency, dan e-wallet;
• aplikasi di 16 negara;
• sekitar 140 aplikasi melalui modul khusus pencurian PIN.

Yang menarik, daftar aplikasi target tersebut dapat diperbarui secara dinamis, sehingga operator malware tidak harus mendistribusikan ulang seluruh malware ketika ingin menambahkan target baru.

PIN dan Password Juga Menjadi Sasaran

Ancaman ToxicPanda tidak berhenti pada kredensial aplikasi. Malware juga dapat menampilkan layar kunci Android palsu untuk mencoba mencuri:

• PIN perangkat.
• pola buka kunci.
• password; dan
• informasi yang dimasukkan pengguna.

Dalam beberapa sampel yang dianalisis, ToxicPanda juga menggunakan layar pembaruan sistem palsu.

Cara ini dapat membuat korban percaya bahwa perangkat sedang melakukan pembaruan, padahal di balik layar malware sedang menjalankan aktivitas berbahaya.

Penyalahgunaan Wireless ADB

Fitur baru yang paling menonjol pada ToxicPanda 2.0 adalah kemampuannya menyalahgunakan Android Debug Bridge (ADB).

ADB merupakan mekanisme resmi Android yang memungkinkan perangkat menjalankan perintah melalui komputer. Pada Android 11 dan versi yang lebih baru, tersedia pula Wireless Debugging, yang memungkinkan koneksi ADB dilakukan melalui Wi-Fi.

ToxicPanda mencoba mengotomatiskan proses tersebut melalui beberapa tahap:

• Memanfaatkan accessibility service;
• Mengaktifkan developer options;
• Mengaktifkan wireless debugging;
• Mengambil kode pairing adb enam digit;
• Mengambil informasi port;
• Menghubungkan diri ke layanan adb lokal; dan
• Menjalankan perintah melalui akses shell.

Jika berhasil, malware memperoleh kemampuan yang lebih luas untuk melakukan tindakan pada perangkat.

Menurut peneliti, akses tersebut dapat digunakan untuk membantu malware:

• Memperoleh izin tambahan;
• Menghindari sejumlah pembatasan android;
• Mengaktifkan komponen tertentu secara diam-diam;
• Mengurangi kemungkinan prosesnya dihentikan;
• Serta mempertahankan keberadaan malware di perangkat.
• Malware berusaha bertahan selama mungkin

ToxicPanda 2.0 juga mempunyai perintah autoBoot.

Perintah tersebut dapat mengidentifikasi produsen perangkat dan kemudian membuka pengaturan auto-start atau manajemen daya yang sesuai.

Tujuannya adalah menghindari mekanisme penghemat baterai yang dapat menghentikan aplikasi ketika berjalan di latar belakang. Teknik ini dilaporkan menargetkan mekanisme pada perangkat dari beberapa produsen, termasuk:

• Xiaomi
• OPPO
• Vivo
• Samsung
• Huawei

Dengan demikian, ToxicPanda tidak sekadar berusaha masuk ke perangkat. Malware juga berusaha memastikan dirinya tetap aktif setelah perangkat digunakan kembali oleh korban.

Bagaimana Pengguna Android Harus Bersikap?

Perkembangan ToxicPanda 2.0 menunjukkan bahwa fitur Android yang sah dapat disalahgunakan sebagai bagian dari serangan. Karena itu, pengguna perlu lebih berhati-hati terhadap aplikasi yang meminta izin berlebihan.

1. Jangan sembarangan memberikan Accessibility Service

Jika aplikasi sederhana seperti wallpaper, kalkulator, pemutar video, atau aplikasi belanja meminta Accessibility Service, pertanyakan alasannya.

Jangan memberikan izin hanya karena aplikasi mengatakan izin tersebut “wajib”.

2. Waspadai permintaan VPN

Perhatikan ketika sebuah aplikasi yang tidak berhubungan dengan keamanan jaringan tiba-tiba meminta izin untuk membuat koneksi VPN.

Sebelum menyetujui, tanyakan:

“Mengapa aplikasi ini membutuhkan VPN untuk menjalankan fungsinya?”

Jika tidak ada alasan yang masuk akal, lebih baik jangan memberikan izin.

3. Hindari mengaktifkan Wireless Debugging tanpa kebutuhan

Jika tidak sedang melakukan pengembangan atau debugging perangkat, Wireless Debugging sebaiknya tetap dalam keadaan nonaktif.

Periksa:

Settings → Developer Options → Wireless Debugging

Jika tidak digunakan, matikan fitur tersebut.

4. Instal aplikasi dari sumber terpercaya

Hindari menginstal APK yang diperoleh dari:

• Tautan whatsapp atau sms;
• Situs yang tidak dikenal;
• Iklan pop-up;
• Forum atau kanal yang tidak terpercaya;
• File apk yang dikirim orang lain tanpa alasan jelas.

Gunakan toko aplikasi resmi dan tetap perhatikan reputasi serta pengembang aplikasi.

5. Jangan abaikan perubahan aneh pada perangkat

Segera periksa perangkat jika muncul gejala seperti:

• Aplikasi tiba-tiba meminta izin yang tidak biasa;
• Muncul vpn yang tidak pernah dibuat;
• Layar pembaruan sistem muncul secara mencurigakan;
• Aplikasi perbankan menampilkan tampilan yang berbeda;
• Baterai cepat terkuras tanpa sebab;
• Perangkat menjadi panas ketika tidak digunakan;
• Aplikasi berjalan atau terbuka sendiri.

6. Aktifkan dan pertahankan fitur keamanan Android

Pengguna sebaiknya memastikan Google Play Protect tetap aktif dan sistem operasi serta aplikasi selalu diperbarui melalui sumber resmi.

Jangan menonaktifkan fitur keamanan hanya karena sebuah aplikasi meminta pengguna melakukannya.

ToxicPanda Menunjukkan Evolusi Ancaman Mobile

ToxicPanda 2.0 memperlihatkan bagaimana malware Android terus berkembang dari sekadar pencuri kredensial menjadi ancaman yang berusaha mendapatkan kendali lebih luas terhadap perangkat.

Pemanfaatan VPN untuk mengganggu komunikasi, Accessibility Service untuk mengendalikan interaksi, overlay untuk mencuri informasi, hingga penyalahgunaan Wireless ADB menunjukkan bahwa penyerang semakin kreatif dalam memanfaatkan fitur yang sebenarnya tersedia secara resmi di Android.

Bagi pengguna, pesan pentingnya sederhana: jangan menganggap semua permintaan izin sebagai sesuatu yang normal.

Semakin besar kendali yang diberikan kepada sebuah aplikasi, semakin besar pula dampak yang dapat terjadi jika aplikasi tersebut ternyata berbahaya. Karena itu, sebelum memberikan izin, memasang APK, atau mengaktifkan fitur pengembang, pastikan pengguna benar-benar memahami apa yang diminta, mengapa dibutuhkan, dan siapa yang berada di balik aplikasi tersebut.

Sumber berita:

WeLiveSecurity