Telset.id – Peneliti keamanan memperingatkan ancaman baru pada Android: trojan perbankan yang menyalahgunakan izin VPN untuk memblokir Google Play dan Play Protect sebelum menyerang perangkat pengguna. Malware bernama ToxicPanda 2.0 ini ditemukan oleh perusahaan keamanan mobile Zimperium, dan kini menargetkan 349 aplikasi perbankan serta kripto di 16 negara.
Taktik ini efektif karena permintaan izin VPN terlihat wajar. Banyak aplikasi legal meminta akses VPN, dan aplikasi VPN terbaik pun mengandalkan izin yang sama untuk mengarahkan lalu lintas data. ToxicPanda meniru permintaan tersebut, tetapi menggunakan aksesnya untuk memutus koneksi ponsel dari Google Play. Begitu Google Play Protect tidak bisa menjangkau perangkat, malware memiliki jalur yang jelas untuk menginstal payload dan mulai mencuri data pengguna.
Cara ToxicPanda Membutakan Google Play
ToxicPanda beroperasi sebagai “dropper,” yaitu aplikasi yang menyelundupkan program tersembunyi kedua. Menurut peneliti Zimperium, malware ini pertama-tama menampilkan layar instalasi palsu dan meminta korban memberikan izin VPN. Permintaan itu terlihat rutin, sehingga banyak pengguna menekan “izinkan” tanpa berpikir panjang.
Memberikan izin tersebut memungkinkan ToxicPanda membuat antarmuka jaringan lokal yang berada di antara ponsel dan internet, memberi malware kendali atas semua lalu lintas yang melewati perangkat. Malware segera menggunakan kendali itu untuk memblokir komunikasi dengan Google Play dan Google Play Services. Memutus koneksi ini memungkinkan malware mengganggu verifikasi aplikasi, pembaruan, dan Play Protect, lapisan keamanan yang biasanya akan menandai atau menghapus aplikasi berbahaya.
Dengan Google yang efektif “dibutakan,” ToxicPanda mendekripsi payload yang tersembunyi di file-nya sendiri, menginstalnya, dan kemudian meminta izin Accessibility Service untuk menggali lebih dalam.
Rilis ini merupakan eskalasi besar dari iterasi ToxicPanda sebelumnya. Seperti yang dikatakan Zimperium, ToxicPanda 2.0 kini mendukung 167 perintah jarak jauh. Malware ini juga dapat menampilkan layar login palsu di 349 aplikasi perbankan, e-wallet, dan kripto di 16 negara, naik dari hanya 16 aplikasi sebelumnya.
Modul terpisah mengumpulkan PIN dari lebih dari 140 aplikasi keuangan menggunakan overlay tak terlihat yang menangkap ketukan layar pengguna. Trojan ini juga dapat memalsukan layar kunci Android untuk mencuri PIN, pola, atau kata sandi, serta menyalahgunakan fitur Wireless Debugging (ADB) Android untuk mendapatkan akses level shell dan memberikan izin pada dirinya sendiri tanpa prompt.
ToxicPanda pertama kali muncul pada 2024, menargetkan bank-bank Eropa. Malware serupa lainnya seperti Rokarolla juga telah menyerang ratusan aplikasi perbankan dan kripto dalam beberapa bulan terakhir.
Baca Juga:
Cara Tetap Aman
Pertahanan terkuat adalah mencegah malware masuk ke ponsel sejak awal. Hanya instal aplikasi dari Google Play Store resmi, dan hindari sideloading file APK dari tautan, iklan, atau situs pihak ketiga.
Perlu diingat bahwa tautan VPN berbahaya bahkan telah menyusup ke toko aplikasi resmi, jadi perlakukan setiap permintaan VPN mendadak dengan kecurigaan. VPN yang sah tetap menjadi alat privasi yang berharga, tetapi kampanye ini mengingatkan bahwa izin itu sendiri sangat kuat, jadi berikan hanya kepada aplikasi yang benar-benar Anda percaya.
Ancaman ToxicPanda 2.0 menunjukkan bagaimana penjahat siber terus menemukan cara baru untuk mengeksploitasi fitur sistem operasi Android. Dengan memahami cara kerja malware ini, pengguna dapat lebih waspada terhadap permintaan izin yang mencurigakan dan melindungi data keuangan mereka dari serangan yang semakin canggih.
Komentar
Belum ada komentar.