Um novo malware para Android, chamado Manic, está mirando usuários em vários países europeus e conta com um mecanismo de contingência para exfiltrar dados por meio de dispositivos infectados próximos.
O malware está ativo desde, no mínimo, fevereiro e combina recursos de spyware, fraude bancária e controle remoto.
Ele atinge ao menos 169 aplicativos de banco, governo e eID, pagamentos, carteiras de criptomoedas, mensagens e autenticadores com 2FA, tendo como principal foco usuários da Ucrânia.
A empresa de segurança móvel ThreatFabric analisou o Manic e identificou que ele usa sobreposições transparentes nos teclados numéricos de aplicativos legítimos para capturar os toques das vítimas e reproduzi-los por meio do serviço de Acessibilidade do Android, permitindo que os apps continuem funcionando normalmente.
Depois de obter permissões de Acessibilidade e acesso às notificações, o malware consegue capturar o PIN ou a senha de desbloqueio, interceptar notificações e mensagens SMS, coletar arquivos e dados de localização, monitorar a tela e fornecer controle remoto aos operadores por meio de sessões WebRTC.
As informações capturadas são categorizadas por tipo, o que facilita seu uso pelos operadores do malware.
Segundo a ThreatFabric, o Manic usa o serviço de Acessibilidade como um keylogger de interface e classifica o texto capturado antes de registrá-lo, distinguindo entrada da tela de bloqueio, candidatos a frase de recuperação, códigos de SMS de quatro a seis dígitos, senhas, mensagens longas, logins de e-mail e texto comum.
Os autores do malware Manic implementaram um mecanismo incomum de exfiltração de dados que é acionado quando um dispositivo comprometido não consegue se conectar ao servidor de command and control (C2).
Segundo os pesquisadores, os dados são criptografados e transferidos por meio de dispositivos comprometidos próximos, via Wi-Fi Direct ou conexões Bluetooth.
Segundo a ThreatFabric, o Manic primeiro tenta usar um par estabelecido de Wi-Fi Direct, depois consulta pares Bluetooth e BLE para verificar se eles têm conectividade com a internet.
Se necessário, o malware também pode usar rotas com múltiplos saltos, com os itens recém-enfileirados configurados, por padrão, para até quatro saltos de retransmissão.
Esse mecanismo também permite a exfiltração de dados mesmo em dispositivos offline, desde que outro dispositivo infectado esteja ao alcance de Wi-Fi ou Bluetooth.
A ThreatFabric afirma que o malware mira aplicativos usados em toda a Europa Central e Ocidental, incluindo o Reino Unido, além da Rússia. No entanto, o foco principal parece ser os aplicativos bancários e governamentais eID na Ucrânia, junto com serviços globais de fintech e criptomoedas.
Embora o vetor de infecção exato ainda seja desconhecido, os pesquisadores observaram no fim de maio o uso de um wrapper que entregava o payload principal às vítimas, seguido pela expansão da infraestrutura existente nos meses seguintes.
Em julho, foi observado em ataques um wrapper atualizado, com verificações antianálise mais fortes e carregamento de DEX em memória, além do lançamento de um novo painel e de uma nova API.
Usuários de Android são orientados a evitar o download de APKs de fontes obscuras e portais não oficiais, negar permissões de Acessibilidade, a menos que sejam exigidas por um aplicativo confiável, e executar regularmente varreduras com o Play Protect para detectar e remover malware conhecido.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...