Los investigadores de ciberseguridad han descubierto una versi\u00f3n actualizada de un malware Android llamado Tgt\u00f3xico<\/strong> (tambi\u00e9n conocido como toxicpanda), lo que indica que los actores de amenaza detr\u00e1s de ella est\u00e1n realizando continuamente cambios en respuesta a los informes p\u00fablicos.<\/p>\n “Las modificaciones observadas en las cargas \u00fatiles TGTOXIC reflejan la vigilancia continua de los actores de la inteligencia de c\u00f3digo abierto y demuestran su compromiso de mejorar las capacidades del malware para mejorar las medidas de seguridad y mantener a raya a los investigadores”, Intel 471 dicho<\/a> En un informe publicado esta semana.<\/p>\n TGTOXIC fue documentado por primera vez por Trend Micro a principios de 2023, describi\u00e9ndolo como un troyano bancario capaz de robar credenciales y fondos de billeteras criptogr\u00e1ficas, as\u00ed como aplicaciones bancarias y financieras. Se ha detectado en la naturaleza desde al menos julio de 2022, centr\u00e1ndose principalmente en usuarios m\u00f3viles en Taiw\u00e1n, Tailandia e Indonesia.<\/p>\n Luego, en noviembre de 2024, la firma de prevenci\u00f3n de fraude en l\u00ednea italiana CLEAFY detall\u00f3 una variante actualizada con caracter\u00edsticas de recolecci\u00f3n de datos de amplio alcance, al tiempo que ampl\u00eda su alcance operativo para incluir Italia, Portugal, Hong Kong, Espa\u00f1a y Per\u00fa. Se eval\u00faa el malware como el trabajo de un actor de amenaza de habla china.<\/p>\n El \u00faltimo an\u00e1lisis de Intel 471 descubri\u00f3 que el malware se distribuye a trav\u00e9s de archivos APK dropper probablemente a trav\u00e9s de mensajes SMS o sitios web de phishing. Sin embargo, el mecanismo de entrega exacto sigue siendo desconocido.<\/p>\n Algunas de las mejoras notables incluyen capacidades de detecci\u00f3n de emuladores mejoradas y actualizaciones del mecanismo de generaci\u00f3n de URL de comando y control (C2), subrayando los esfuerzos continuos para evitar los esfuerzos de an\u00e1lisis.<\/p>\n “El malware realiza una evaluaci\u00f3n exhaustiva de las capacidades de hardware y sistema del dispositivo para detectar la emulaci\u00f3n”, dijo Intel 471. “El malware examina un conjunto de propiedades del dispositivo que incluyen valores de marca, modelo, fabricante y huellas digitales para identificar discrepancias que son t\u00edpicas de los sistemas emulados”.<\/p>\n Otro cambio significativo es el cambio de los dominios C2 codificados con c\u00f3digo duro integrados dentro de la configuraci\u00f3n del malware al uso de foros como el Foro de desarrolladores de la comunidad Atlassian para crear perfiles falsos que incluyan una cadena cifrada que apunta al servidor C2 real.<\/p>\n El TGToxic APK est\u00e1 dise\u00f1ado para seleccionar aleatoriamente una de las URL del foro comunitario proporcionadas en la configuraci\u00f3n, que sirve como un resoluci\u00f3n de ca\u00edda muerta para el dominio C2.<\/p>\n La t\u00e9cnica ofrece varias ventajas, lo que sea que sea m\u00e1s f\u00e1cil para los actores de amenaza cambiar los servidores C2 simplemente actualizando el perfil de usuario de la comunidad para se\u00f1alar el nuevo dominio C2 sin tener que emitir ninguna actualizaci\u00f3n al malware en s\u00ed.<\/p>\n “Este m\u00e9todo extiende considerablemente la vida \u00fatil operativa de las muestras de malware, manteni\u00e9ndolas funcionales siempre que los perfiles de usuario en estos foros permanezcan activos”, dijo Intel 471.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/La-nueva-variante-de-troyano-de-banca-tgtoxic-evoluciona-con.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n