Um novo malware para Android, chamado Hirudo, rouba credenciais bancárias ao substituir aplicativos legítimos por versões modificadas que desativam verificações de segurança.
Pesquisadores identificaram cópias maliciosas de oito aplicativos bancários que usam um mecanismo de interceptação para contornar verificações de assinatura, de acessibilidade e do Play Integrity. Para isso, substituem informações dos certificados ou retornam listas vazias.
Os agentes maliciosos podem usar o Hirudo para roubar credenciais, controlar celulares infectados remotamente e em tempo real, coletar mensagens, capturar telas e gravar áudio.
Em relatório, a empresa de segurança móvel ThreatFabric informa que o Hirudo foi observado se passando por pelo menos sete bancos da Indonésia. O malware também tem como alvo instituições financeiras na China, na Índia, no México, no Marrocos e na Tailândia.
Em geral, o malware é distribuído por meio de aplicativos de compras, como o Shopora, de conteúdo adulto, como o 1V1 X, ou de dramas curtos, como o ZoyaTV e o KoiShort. Esses aplicativos parecem legítimos e oferecem as funcionalidades prometidas.
Segundo os pesquisadores, os aplicativos atuam como loaders do Hirudo. Eles exibem uma notificação falsa de “atualização” que leva a solicitações de permissões, inclusive para os Serviços de acessibilidade.
Depois de instalado, o Hirudo inicia a desinstalação do aplicativo bancário legítimo, baixa uma cópia modificada e usa a permissão de acessibilidade para instalá-la.
A ThreatFabric explica que o processo é delicado e arriscado para o malware, pois a vítima pode interrompê-lo em dois momentos.
A empresa constatou que a cópia maliciosa de um aplicativo bancário mantém quase todo o código original, mas inclui um mecanismo de interceptação baseado nos frameworks open source YAHFA e Dobby.
Ao ser iniciado, o aplicativo modificado realiza as seguintes ações para evitar a detecção:
- Substitui o certificado de assinatura legítimo quando solicitado.
- Oculta os Serviços de acessibilidade ativados.
- Remove a proteção contra capturas de tela, permitindo a visualização e a gravação remotas.
- Altera certificados de atestação de chaves e encaminha solicitações do Play Integrity por meio de um servidor controlado pelos operadores.
“Com o mecanismo em execução dentro do próprio processo do aplicativo bancário, as defesas do aplicativo são usadas contra ele”, afirmam os pesquisadores.
A ThreatFabric ressalta, porém, que esses métodos de evasão têm limitações.
O conjunto de chaves de atestação incluído no malware foi divulgado publicamente, e o Google lista dois de seus certificados como comprometidos. Por isso, verificações de revogação feitas no servidor podem identificar essas falsificações.
Depois de se instalar no dispositivo, o Hirudo pode roubar senhas bancárias, PINs de pagamento, credenciais de desbloqueio do aparelho e mensagens SMS. Também pode transmitir a tela aos operadores e dar acesso às duas câmeras do dispositivo.
As páginas falsas de pagamento do malware coletam PINs e, em seguida, exibem uma confirmação fraudulenta de pagamento bem-sucedido para enganar as vítimas enquanto os dados são roubados.
A ThreatFabric constatou que o Hirudo tem como alvo, atualmente, aplicativos bancários da Indonésia. A empresa também encontrou milhares de registros com credenciais de aplicativos em um painel administrativo desprotegido, além de dados sobre dispositivos, telas de bloqueio e perfis financeiros. Ainda não se sabe quantas pessoas foram afetadas.
Segundo os pesquisadores, “o Hirudo representa uma escalada deliberada na forma como os malwares bancários para Android lidam com aplicativos reforçados”, com uma mudança de foco das verificações de integridade do dispositivo para os mecanismos de segurança incorporados aos aplicativos bancários.
Os pesquisadores recomendam que os bancos validem a integridade e a atestação no servidor, vinculem as verificações a sessões e ações protegidas e mantenham controles comportamentais e de risco das transações.
Aos usuários de Android, a recomendação é manter os dispositivos atualizados, evitar a instalação de arquivos APK obtidos em lojas não oficiais e realizar verificações periódicas com o Play Protect.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...