3 hours ago
3
Jakarta, CNBC Indonesia - Pengguna Android perlu waspadai karena serangan malware perbankan semakin canggih. Salah satunya ToxicPanda, atau dikenal juga sebagai TgToxic, yang diupgrade dengan kemampuan lebih luas untuk mencuri data hingga menguras rekening korban.
Peneliti keamanan siber dari Zimperium zLabs mengungkap ToxicPanda 2.0 membawa sejumlah peningkatan signifikan, termasuk 167 perintah jarak jauh.
Malware ini juga memperluas targetnya secara global dan menyasar lebih dari 140 aplikasi perbankan serta kripto untuk mencuri PIN.
ToxicPanda sendiri diketahui telah aktif setidaknya sejak Juli 2022. Dalam versi terbarunya, malware tersebut memanfaatkan layanan aksesibilitas Android untuk mengambil berbagai elemen yang tampil di layar perangkat korban.
"Melalui penyalahgunaan layanan aksesibilitas Android, pelaku dapat mencuri setiap elemen antarmuka pengguna di layar, sekaligus menggunakan mekanisme pencurian kredensial berbasis overlay yang menargetkan 349 institusi keuangan di 16 negara," kata peneliti keamanan Vishnu Pratapagiri, dikutip dari The Hacker News, Selasa (25/8/2026).
Jumlah tersebut meningkat drastis dibandingkan versi sebelumnya yang hanya menyasar 16 aplikasi perbankan. Artinya, ToxicPanda 2.0 kini memiliki cakupan target dan kemampuan serangan yang jauh lebih besar.
Ditambahkan, malware itu juga dapat mencuri kredensial layar kunci melalui tampilan palsu atau fake overlay. ToxicPanda 2.0 bahkan memiliki mekanisme klik otomatis untuk menyalahgunakan fitur Wireless Debugging Android melalui Android Debug Bridge (ADB).
Dengan memanfaatkan layanan aksesibilitas, malware dapat mengaktifkan Developer Options dan Wireless Debugging. Langkah tersebut memungkinkan pelaku meningkatkan hak akses dan memperoleh akses ke shell pada perangkat yang telah terinfeksi.
ToxicPanda 2.0 berkomunikasi dengan server command-and-control (C2) milik penyerang melalui permintaan HTTPS awal. Setelah itu, malware membangun saluran komunikasi WebSocket dua arah untuk menerima perintah sekaligus mengirimkan data dari perangkat korban.
Malware ini juga dapat menampilkan halaman penuh yang menyerupai pembaruan sistem. Tampilan tersebut bertujuan menyembunyikan aktivitas berbahaya yang berjalan di latar belakang.
Selain itu, ToxicPanda mampu memasang overlay transparan yang tidak terlihat pengguna untuk menangkap sentuhan pada layar dan mencuri PIN.
Kemampuan lainnya mencakup dapat membujuk korban memberikan hak akses Device Administrator. Setelah memperoleh akses tersebut, pelaku dapat mengganti PIN atau kata sandi layar kunci perangkat dengan kode yang mereka tentukan sendiri.
ToxicPanda juga dapat melakukan profiling terhadap perangkat yang terinfeksi untuk mengetahui produsen atau OEM. Informasi itu kemudian digunakan malware untuk menyesuaikan langkah agar terbebas dari kebijakan penghemat baterai Android.
Langkah tersebut memungkinkan malware tetap aktif di latar belakang dan menjalankan aktivitasnya tanpa mudah dihentikan sistem.
"Perkembangan kampanye terbaru juga menunjukkan perubahan metode distribusi, dengan sampel ToxicPanda 2.0 dikirim melalui bucket yang di-host di Amazon AWS. Ini menunjukkan bahwa para penyerang memanfaatkan infrastruktur cloud untuk mendistribusikan malware," kata Zimperium.
(dce)
[Gambas:Video CNBC]
