A Eset, empresa de detecção proativa de ameaças, alerta sobre um perigoso trojan bancário para o Android, identificado no início deste ano, e que encontrou uma maneira de se infiltrar novamente no Google Play.
O BankBot conseguiu entrar na loja oficial do Google Play tentando se passar pelo jogo Jewels Star Classic. Os atacantes usaram o nome da saga popular Jewels Star, desenvolvida pela ITREEGAMER, sem que a empresa esteja relacionada a esta campanha maliciosa. Quando a Eset notificou a equipe de segurança do Google sobre o aplicativo malicioso, 5 mil usuários já o tinham instalado em seus computadores.
App malicioso descoberto no Google Play
Ao baixar esta versão do Jewels Star Classic, o que se obtém é um jogo Android que funciona, mas que possui algumas características maliciosas, por exemplo, um malware bancário entre seus recursos, e um serviço malicioso que é executado após uma janela de tempo pré-configurada.
O serviço é ativado 20 minutos após a primeira execução do jogo. O dispositivo infectado exibe um alerta incitando o usuário a habilitar algo chamado “Serviço Google”. Esse alerta aparece independentemente da atividade que o usuário estiver realizando, sem conexão aparente com o jogo.
Ao clicar em OK, o usuário permite ao trojan executar qualquer ação que ele precise para continuar sua atividade maliciosa. Uma vez que as permissões são aceitas, o usuário tem o acesso negado a sua tela, devido a uma suposta “atualização” do Google Service.
Enquanto o usuário espera que a atualização termine, o malware autoriza a instalação de aplicativos de fontes desconhecidas, instala o BankBot a partir de seus recursos e o executa, ativa o Gerenciador de Dispositivos para o BankBot, define BankBot como o aplicativo SMS padrão e obtém permissão para substituir outros apps.
Uma vez que essas tarefas são executadas, o malware tenta roubar dados do cartão de crédito da vítima. Quando o usuário executa o aplicativo do Google Play, o BankBot entra em ação e sobrepõe o app legítimo com uma forma falsa, que solicita os detalhes do cartão de crédito do usuário.
Nesta etapa, o usuário pode cair na armadilha, inserir seus dados e ser enganado. O BankBot também se estabelece como o aplicativo de mensagens padrão, portanto, pode interceptar todas as mensagens SMS que passam pelo dispositivo infectado. Isso permite que os criminosos possam burlar a dupla autenticação baseada em SMS para o acesso à conta bancária da vítima, o que seria potencialmente o último obstáculo para concretizar o ato criminoso.
“As técnicas combinadas tornam muito difícil para a vítima reconhecer a ameaça em tempo. Inserir um serviço que afirma ser do Google e aguardar 20 minutos antes de mostrar a primeira advertência faz com que a vítima tenha poucas chances de relacionar a atividade do trojan com a instalação do Jewel Star Classic que baixou há pouco”, explica Camilo Gutierrez, chefe do laboratório de pesquisa da ESET América Latina. “Para detectar e eliminar a ameaça com todos os seus componentes, recomendamos o uso de uma solução de segurança móvel”, conclui.
