Hackers falsificam páginas da Google Play Store para minerar criptomoedas

Hackers estão mirando vítimas por meio de um novo esquema de phishing. De acordo com uma publicação da SecureList, hackers estão usando páginas falsas da Google Play Store para espalhar uma campanha de malware Android no Brasil.

O aplicativo prejudicial parece ser um download legítimo, mas uma vez instalado, ele converte telefones infectados em máquinas de mineração de criptomoedas. Além disso, é usado para instalar malware bancário e conceder acesso remoto a atores de ameaças.

Hackers transformam smartphones brasileiros em máquinas de mineração de criptomoedas

A campanha começa em um site de phishing que parece quase idêntico ao Google Play. Uma das páginas oferece um aplicativo falso chamado INSS Reembolso, que afirma estar vinculado ao serviço de previdência social do Brasil. O design UX/UI copia um serviço governamental confiável e o layout da Play Store para fazer o download parecer seguro.

Após instalar o aplicativo falso, o malware descompacta código oculto em várias etapas. Ele usa componentes criptografados e carrega o código malicioso principal diretamente na memória. Não há arquivos visíveis no dispositivo, tornando difícil para os usuários detectar qualquer atividade suspeita.

O malware também evade a análise por pesquisadores de segurança. Ele verifica se o telefone está sendo executado em um ambiente emulado. Se detectar um, ele para de funcionar.

Após a instalação bem-sucedida, o malware continua a baixar mais arquivos maliciosos. Ele mostra outra tela estilo Google Play falso, em seguida, exibe um prompt de atualização falso e empurra o usuário a tocar no botão de atualização.

Um desses arquivos é um minerador de criptomoedas, que é uma versão do XMRig compilada para dispositivos ARM. O malware busca a carga útil de mineração de infraestrutura controlada pelo atacante. Em seguida, ele a descriptografa e a executa no telefone. A carga útil conecta dispositivos infectados a servidores de mineração controlados pelos atacantes para minerar criptomoedas silenciosamente em segundo plano.

O malware é sofisticado e não minera criptomoedas cegamente. De acordo com a análise da SecureList, o malware monitora a porcentagem de carga da bateria, temperatura, idade da instalação e se o telefone está sendo usado ativamente. A mineração começa ou para com base nos dados monitorados. O objetivo é permanecer oculto e reduzir qualquer chance de detecção.

O Android mata aplicativos em segundo plano para economizar bateria, mas o malware evade isso fazendo loop de um arquivo de áudio quase silencioso. Ele simula uso ativo para evitar a desativação automática do Android.

Para continuar enviando comandos, o malware usa o Firebase Cloud Messaging, que é um serviço legítimo do Google. Isso facilita para os atacantes enviar novas instruções e gerenciar a atividade no dispositivo infectado.

Trojan bancário mira transferências de USDT

O malware faz mais do que minerar moedas. Algumas versões também instalam um Trojan bancário que mira a Binance e Trust Wallet, especialmente durante transferências de USDT. Ele sobrepõe telas falsas sobre os aplicativos reais, em seguida, substitui silenciosamente o endereço da carteira por um controlado pelo atacante.

O módulo bancário também monitora navegadores como Chrome e Brave e suporta uma ampla gama de comandos remotos. Isso inclui gravação de áudio, captura de telas, envio de mensagens SMS, bloqueio do dispositivo, limpeza de dados e registro de teclas digitadas.

Outras amostras recentes mantêm o mesmo método de entrega de aplicativo falso, mas mudam para uma carga útil diferente. Eles instalam o BTMOB RAT, uma ferramenta de acesso remoto vendida em mercados clandestinos.

O BTMOB faz parte de um ecossistema de malware como serviço (MaaS). Os atacantes podem comprá-lo ou alugá-lo, o que reduz a barreira para hacking e roubo. A ferramenta dá aos atacantes acesso mais profundo, incluindo gravação de tela, acesso à câmera, rastreamento de GPS e roubo de credenciais.

O BTMOB é ativamente promovido online. Um ator de ameaças compartilhou demonstrações do malware no YouTube, mostrando como controlar dispositivos infectados. Vendas e suporte são tratados por meio de uma conta do Telegram.

A SecureList afirmou que todas as vítimas conhecidas estão no Brasil. Algumas variantes mais recentes também estão se espalhando através do WhatsApp e outras páginas de phishing.

Campanhas de hacking sofisticadas como esta são um lembrete para verificar tudo e não confiar em nada.