Android
Malware Hirudo troca a app do banco por uma cópia adulterada que desliga as defesas do Android
Em vez de pôr um ecrã falso por cima da app bancária, este trojan desinstala a verdadeira e instala uma cópia que mente às verificações de segurança. Por agora visa bancos da Indonésia e de outros cinco países, mas os investigadores avisam que a técnica pode ser apontada a qualquer lado.
Os trojans bancários para Android costumam enganar as vítimas com ecrãs falsos colocados por cima da app do banco. O Hirudo, descrito esta semana pela empresa de segurança ThreatFabric, vai mais longe: apaga a app verdadeira e instala no lugar dela uma cópia modificada, que por fora parece igual. Segundo os investigadores, essa cópia mantém quase todo o código original do banco, mas traz um motor escondido que desliga as verificações de segurança a partir de dentro.
Como funciona a troca
O malware entra em duas fases. Primeiro chega numa app de isco que funciona mesmo: uma loja online (Shopora), uma app de vídeos para adultos (1V1 X) ou de séries curtas (ZoyaTV e KoiShort). A dada altura, essa app mostra um falso aviso de "atualização" que instala uma segunda app, o Hirudo propriamente dito, e pede permissões, incluindo os serviços de Acessibilidade do Android.
Quando deteta uma das apps bancárias da sua lista, o Hirudo mostra outro falso pedido de atualização, abre o desinstalador da app verdadeira e descarrega a versão adulterada. A cópia não tem a assinatura do banco, por isso o Android não a deixa instalar por cima da original. A ThreatFabric nota que este é o ponto fraco do esquema: há dois momentos em que a vítima pode interromper o processo.
Depois de instalada, a app falsa responde o que o atacante quer às perguntas de segurança. Apresenta o certificado do banco como se fosse o seu, devolve uma lista vazia quando o banco pergunta que serviços de Acessibilidade estão ativos e retira a proteção que impede capturas de ecrã. Os pedidos à Play Integrity, o sistema da Google que confirma se uma app não foi alterada, passam por um servidor dos criminosos, que devolve a resposta certa.
O que rouba e quem está na mira
Com o controlo do telemóvel, o Hirudo apanha palavras-passe do banco, códigos PIN de pagamento, o padrão ou o PIN de desbloqueio e mensagens SMS dos últimos 90 dias. Também transmite o ecrã em direto aos atacantes e acede às duas câmaras.
Há cópias adulteradas de oito apps de sete bancos da Indonésia, e o malware tem uma lista de 42 apps financeiras. O código inclui ainda alvos na China, Índia, México, Marrocos e Tailândia. Num painel mal protegido dos atacantes, os investigadores encontraram milhares de credenciais roubadas, recolhidas em agosto, mas o número de vítimas continua por apurar.
O que muda para ti
Nenhum banco português aparece na lista. A ThreatFabric sublinha, ainda assim, que o motor de adulteração não está preso a um banco nem a um país e pode ser reaproveitado noutras regiões.
As regras de defesa são as de sempre, e o BleepingComputer resume-as: manter o Android atualizado, não instalar ficheiros APK de lojas não oficiais e correr o Play Protect de vez em quando. As atualizações da app do teu banco chegam pela Play Store, nunca por um aviso dentro de outra app. Se uma app de compras ou de vídeos te pedir acesso à Acessibilidade ou para desinstalar a app do banco, recusa e apaga-a.
