O mais recente malware de fraude bancária do Android usa uma tática inteligente para roubar credenciais
Tero Vesalainen / Shutterstock.com
Os hackers, infelizmente, estão sempre criando novas maneiras inteligentes de roubar ou acessar informações seguras. Alguns malwares para Android detectados recentemente, apelidados de Vultur, estão usando um novo método descarado para coletar credenciais de login para mais de 100 aplicativos bancários e de criptografia.
O malware de acesso remoto Trojan (RAT), Vultur, ganhou o nome da empresa de segurança ThreatFabric, com sede em Amsterdã. Ele usa um compartilhamento de tela VNC de implementação real para gravar a tela de um dispositivo, log de chaves e espelhar tudo de volta ao servidor do invasor. Os usuários, sem saber, inserem suas credenciais no que acreditam ser um aplicativo confiável e os invasores coletam as informações, fazem login nos aplicativos em um dispositivo separado e retiram o dinheiro.
Esse método de gravação de tela é diferente dos Trojans bancários do Android anteriores, que dependiam de uma estratégia de sobreposição de HTML. O Vulture também depende muito de abusar dos serviços de acessibilidade no sistema operacional do dispositivo para obter as permissões necessárias que permitirão acessar o que precisa para executar a coleta de credenciais com sucesso.
No relatório da ThreatFabric, descobrimos que os agentes de ameaças conseguiram coletar uma lista dos aplicativos que o Vulture visava, que foram espalhados pela Google Play Store. Itália, Espanha e Austrália foram as regiões que tiveram o maior número de instituições bancárias afetadas pelo Vultur. Várias carteiras de criptomoedas também foram visadas.
“As ameaças bancárias na plataforma móvel não são mais apenas baseadas em ataques de sobreposição conhecidos, mas estão evoluindo para malware semelhante ao RAT, herdando truques úteis como detectar aplicativos em primeiro plano para iniciar a gravação de tela", escreveram os pesquisadores da ThreatFabric. “Isso traz a ameaça para outro nível, pois esses recursos abrem as portas para fraudes no dispositivo, contornando a detecção baseada em MO’s de phishing que exigem fraudes realizadas a partir de um novo dispositivo. Com o Vultur, a fraude pode ocorrer no dispositivo infectado da vítima. Esses ataques são escaláveis e automatizados, pois as ações para realizar fraudes podem ser roteirizadas no back-end do malware e enviadas na forma de comandos sequenciados.”
Se o usuário baixar e abrir um dos aplicativos que o Vulture está mirando, o Trojan inicia a sessão de gravação de tela. Os usuários que descobrirem e tentarem excluir o aplicativo malicioso descobrirão rapidamente que não podem – um bot dentro do malware clica automaticamente no botão Voltar e envia o usuário de volta à tela de configurações principais.
A única vantagem que os usuários têm é prestar atenção no painel de notificações, que mostrará que um aplicativo chamado “Protection Guard” está projetando a tela. Para um artigo mais detalhado sobre o Vultur, recomendamos a leitura do relatório da ThreatFabric. Caso contrário, lembre-se de baixar apenas aplicativos confiáveis.
via Ars Technica