Investigadores da empresa de segurança móvel ThreatFabric identificaram o Hirudo, um trojan bancário para Android que utiliza uma técnica sofisticada para roubar informações financeiras. Em vez de se limitar a apresentar ecrãs falsos sobre as aplicações bancárias legítimas, o malware substitui as aplicações originais por cópias adulteradas, desenvolvidas para contornar as verificações de segurança dos próprios serviços bancários.
Malware ataca utilizadores em seis países
Segundo a ThreatFabric, foram identificadas versões adulteradas de oito aplicações bancárias da Indonésia. Além disso, o Hirudo tenta roubar credenciais de utilizadores na Indonésia, na China, na Índia, no México, em Marrocos e na Tailândia.
A infeção começa através de aplicações de compras, vídeos para adultos e entretenimento, como Shopora, 1V1 X, KoiShort e ZoyaTV. Estas aplicações apresentam conteúdo real para transmitir confiança e parecerem legítimas, facilitando a instalação do malware nos dispositivos das vítimas.
Depois de confirmar que o trojan já está instalado, o programa responsável pela instalação inicial, conhecido como dropper, apresenta uma falsa notificação de atualização. Este processo instala o Hirudo como uma segunda aplicação, que solicita ao utilizador permissões de acessibilidade e acesso às notificações do dispositivo.
As vítimas também podem ser encaminhadas para páginas falsas da Google Play através de anúncios publicados nas redes sociais. Antes da instalação, o malware estabelece uma ligação VPN sem acesso à rede, com o objetivo de impedir verificações na nuvem, incluindo as realizadas pelo Google Play Protect. No entanto, segundo a empresa de segurança, a proteção offline continua a funcionar.
Substituição das aplicações bancárias permite contornar verificações de segurança
Uma das características mais invulgares do Hirudo é a forma como substitui as aplicações bancárias legítimas. Sempre que identifica uma das aplicações visadas, o trojan verifica o certificado de assinatura, apresenta uma falsa atualização, abre o desinstalador da aplicação original e, em simultâneo, descarrega uma cópia adulterada.
A versão modificada inclui um mecanismo de hooking, uma técnica que permite intercetar e manipular determinadas operações da aplicação. Neste caso, o mecanismo devolve o certificado genuíno quando este é solicitado pela aplicação bancária, esconde os serviços de acessibilidade ativos e remove a proteção contra capturas de ecrã.
O malware também redireciona os pedidos de verificação de integridade da Google, através do sistema Play Integrity, para um servidor controlado pelos atacantes. Esse servidor responde com um resultado positivo, que é aceite pela aplicação, permitindo que a versão adulterada passe pelas verificações de segurança.
Apesar desta abordagem, existem elementos que podem ajudar a detetar a fraude. De acordo com a ThreatFabric, a chave de atestação utilizada pelo malware foi divulgada publicamente e, pelo menos, dois dos seus certificados constam da lista de certificados comprometidos da Google. Esta situação permite identificar as falsificações através de verificações realizadas no servidor.
Roubo de dados e controlo remoto do telemóvel
Depois de comprometer o dispositivo, o Hirudo consegue recolher diferentes tipos de informações e executar ações à distância. Entre os dados que pode roubar estão credenciais bancárias, códigos PIN e mensagens SMS. O malware também permite capturar imagens do ecrã, aceder à câmara e controlar remotamente o telemóvel.
Segundo Eward Driehuis, da ThreatFabric, a operação combina o roubo de credenciais com o controlo do dispositivo, a captura de imagens do ecrã e da câmara e a recolha de mensagens SMS. O responsável destaca ainda a existência de uma infraestrutura considerada bastante madura.
Outro elemento identificado pela empresa é a capacidade do servidor de armazenar perfis financeiros das vítimas, incluindo informações sobre o rendimento mensal e os respetivos níveis de risco. Estas funcionalidades demonstram a amplitude das capacidades de recolha de dados associadas ao trojan.
Como evitar a instalação do Hirudo
Para reduzir o risco de infeção, a recomendação passa por instalar aplicações exclusivamente através da Google Play e manter uma atitude cautelosa perante anúncios nas redes sociais que promovam aplicações ou atualizações.
Os utilizadores devem também desconfiar de pedidos inesperados de instalação e atualização, sobretudo quando exigem permissões de acessibilidade ou acesso às notificações. A utilização destas permissões pelo Hirudo evidencia a importância de verificar a legitimidade das aplicações antes de autorizar o seu funcionamento.
Com informações do TekNotícias
