Novas campanhas de trojans atacam centenas de carteiras de criptomoedas e aplicativos bancários

Pesquisadores de segurança cibernética descobriram quatro famílias ativas de malware para Android que estão direcionando +800 aplicativos, incluindo carteiras de criptomoedas e aplicativos bancários. Esses malwares usam métodos que a maioria das ferramentas de segurança tradicionais não consegue detectar.

A equipe zLabs da Zimperium publicou resultados rastreando os trojans conhecidos como RecruitRat, SaferRat, Astrinox e Massiv.

De acordo com a pesquisa da empresa, cada família tem sua própria rede de comando e controle que usam para roubar informações de login, assumir transações financeiras e obter dados de usuários de dispositivos infectados.

Aplicativos de criptomoedas e bancários enfrentam novas ameaças de múltiplos malwares

As famílias de malware são uma ameaça direta a qualquer pessoa que gerencie criptomoedas no Android.

Uma vez instalados, os trojans podem colocar telas de login falsas sobre aplicativos reais de criptomoedas e bancários, roubando senhas e outras informações privadas em tempo real. O malware então coloca uma página HTML falsa sobre a interface do aplicativo real, criando o que a empresa chamou de “uma fachada altamente convincente e enganosa.”

“Usando Serviços de Acessibilidade para monitorar o primeiro plano, o malware detecta o momento exato em que uma vítima lança um aplicativo financeiro”, escreveram pesquisadores de segurança da Zimperium.

De acordo com o relatório, os trojans podem fazer mais do que apenas roubar credenciais. Eles também podem capturar códigos de uso único, transmitir a tela de um dispositivo para os atacantes, ocultar seus próprios ícones de aplicativo e impedir que as pessoas os desinstalem.

Cada campanha usa uma isca diferente para fazer as pessoas caírem.

O SaferRat se espalhou usando sites falsos que prometiam acesso gratuito a serviços de streaming premium. O RecruitRat ocultou sua carga útil como parte de um processo de candidatura a emprego, enviando alvos a sites de phishing que pediam que baixassem um arquivo APK malicioso.

O Astrinox usou o mesmo tipo de método baseado em recrutamento, usando o domínio xhire[.]cc. Dependendo do dispositivo usado para visitar esse site, ele mostrava conteúdo diferente.

Usuários de Android foram solicitados a baixar um APK, e usuários de iOS viram uma página que parecia a App Store da Apple. No entanto, pesquisadores de segurança não encontraram provas de que o iOS foi realmente hackeado.

Não foi possível confirmar como o Massiv foi distribuído durante o ciclo de pesquisa.

Todos os quatro trojans usaram infraestrutura de phishing, golpes por mensagem de texto e engenharia social que exploravam a necessidade das pessoas de agir rapidamente ou sua curiosidade para fazê-los carregar aplicativos prejudiciais.

Malware criptográfico evade a detecção

As campanhas visam contornar as ferramentas de segurança.

Os pesquisadores descobriram que as famílias de malware usam técnicas avançadas de anti-análise e manipulação estrutural de pacotes de aplicativos Android (APKs) para manter o que a empresa chamou de “taxas de detecção próximas de zero contra mecanismos de segurança tradicionais baseados em assinaturas.”

As comunicações de rede também se misturam ao tráfego regular. Os trojans usam conexões HTTPS e WebSocket para se comunicar com seus servidores de comando. Algumas versões adicionam camadas extras de criptografia sobre essas conexões.

Outro ponto importante é a persistência. Os trojans bancários modernos para Android não usam mais infecções simples em uma única etapa. Em vez disso, eles usam processos de instalação em múltiplas etapas projetados para contornar o modelo de permissão em mudança do Android, o que tornou mais difícil para os aplicativos realizarem ações sem a permissão explícita do usuário.

O relatório não identificou carteiras de criptomoedas ou exchanges específicas entre os +800 aplicativos-alvo. Mas devido a ataques de sobreposição, interceptação de códigos e transmissão de tela, qualquer aplicativo de criptomoeda baseado em Android pode estar em risco se um usuário instalar um APK malicioso fora da Google Play Store.

Baixar aplicativos a partir de links em mensagens de texto, anúncios de emprego ou sites promocionais ainda é uma das formas garantidas de o malware móvel entrar em um smartphone.

As pessoas que gerenciam suas criptomoedas em dispositivos Android devem usar apenas lojas de aplicativos oficiais e ficar desconfiadas de mensagens pop-up que pedem para baixar algo.