Hackers armam o mensageiro Telegram com malware para obter controle do sistema

De acordo com relatórios, o malware é enviado para dispositivos por meio de anúncios enganosos em aplicativos e lojas de aplicativos de terceiros que se disfarçam como plataformas legítimas de namoro e comunicação. Essa ameaça representa uma escalada significativa na distribuição de malware móvel, espalhando-se por 58.000 dispositivos infectados.

Além disso, o malware já se espalhou por mais de 3.000 smartphones, tablets, caixas de TV e alguns sistemas veiculares baseados em Android.

Hackers utilizam o Telegram com malware para obter acesso

O relatório afirma que a distribuição do backdoor começou em 2024, com os hackers focando principalmente em usuários brasileiros e indonésios por meio de modelos em português e indonésio. As vítimas encontram anúncios dentro do aplicativo móvel que as redirecionam para catálogos de aplicativos falsos, repletos de avaliações falsas e banners promocionais anunciando videochats gratuitos e oportunidades de namoro. Esses sites falsos entregam aplicativos infestados com malware que se parecem idênticos aos legítimos.

Para além dos sites maliciosos, a porta traseira também infiltrou repositórios de terceiros estabelecidos, incluindo APKPure, ApkSum e AndroidP, onde é apresentada de forma enganosa sob o nome do desenvolvedor oficial do mensageiro, apesar de ter uma assinatura digital diferente.

Os analistas identificaram o malware como tendo uma capacidade excecional para roubar informações confidenciais, incluindo credenciais de login, senhas e históricos completos de conversas. A porta traseira também oculta indicadores de contas comprometidas ao esconder conexões de dispositivos de terceiros nas listas ativas de sessões do Telegram.

Adicionalmente, é capaz de remover ou adicionar vítimas a canais e chats sem a sua aprovação, disfarçando completamente estas ações e transformando contas comprometidas em ferramentas para inflar artificialmente o número de subscritores de canais no Telegram.

O que a diferencia das ameaças convencionais do Android é o uso do banco de dados Redis para operações de comando e controle. As versões anteriores do malware dependiam de servidores C2 tradicionais, mas os desenvolvedores integraram comandos baseados em Redis.

O malware manipula funcionalidades sem detecção

O relatório afirma que o backdoor utiliza múltiplas técnicas para manipular as funcionalidades do mensageiro sem ser detectado. Para operações que não interfiram nos recursos principais do aplicativo, os hackers utilizam espelhos já preparados dos métodos do mensageiro, que são blocos de código separados responsáveis por tarefas específicas dentro da arquitetura do programa Android.

Este espelho permite que o aplicativo exiba mensagens de phishing em janelas que replicam perfeitamente as interfaces originais do Telegram X.

Para outras operações que exigem integração mais profunda, o malware usa o framework Xposed para modificar os métodos do aplicativo, permitindo capacidades como ocultar conversas específicas, esconder dispositivos autorizados e interceptar conteúdos da área de transferência. O malware backdoor utiliza canais Redis e servidores C2 para receber comandos extensos, incluindo upload de SMS, contatos e conteúdos da área de transferência sempre que um usuário minimiza ou restaura a janela do mensageiro.

A monitorização da área de transferência é utilizada por hackers para roubar dados, como senhas de carteiras de criptomoedas, frases mnemónicas ou comunicações empresariais confidenciais que foram expostas sem o conhecimento do utilizador. A porta traseira recolhe informações do dispositivo, dados de aplicações instaladas, históricos de mensagens e tokens de autenticação, transmitindo essas informações aos hackers a cada três minutos, mantendo simultaneamente a aparência de uma operação normal do mensageiro Telegram.