| São Paulo, 04 de outubro de 2017 – A ESET, líder em detecção proativa de ameaças, alerta sobre um perigoso trojan bancário para o Android, identificado no início deste ano, e que encontrou uma maneira de se infiltrar novamente no Google Play.
O BankBot conseguiu entrar na loja oficial do Google Play tentando se passar pelo jogo Jewels Star Classic. Os atacantes usaram o nome da saga popular Jewels Star, desenvolvida pela ITREEGAMER, sem que a empresa esteja relacionada a esta campanha maliciosa. Quando a ESET notificou a equipe de segurança do Google sobre o aplicativo malicioso, 5 mil usuários já o tinham instalado em seus computadores.
App malicioso descoberto no Google Play
Ao baixar esta versão do Jewels Star Classic, o que se obtém é um jogo Android que funciona, mas que possui algumas características maliciosas, por exemplo, um malware bancário entre seus recursos, e um serviço malicioso que é executado após uma janela de tempo pré-configurada.
O serviço é ativado 20 minutos após a primeira execução do jogo. O dispositivo infectado exibe um alerta incitando o usuário a habilitar algo chamado “Serviço Google”. Esse alerta aparece independentemente da atividade que o usuário estiver realizando, sem conexão aparente com o jogo.
Legenda: aviso que solicita ao usuário habilitar o “Serviço do Google”
Ao clicar em OK, o usuário permite ao trojan executar qualquer ação que ele precise para continuar sua atividade maliciosa. Uma vez que as permissões são aceitas, o usuário tem o acesso negado a sua tela, devido a uma suposta “atualização” do Google Service.
Enquanto o usuário espera que a atualização termine, o malware autoriza a instalação de aplicativos de fontes desconhecidas, instala o BankBot a partir de seus recursos e o executa, ativa o Gerenciador de Dispositivos para o BankBot, define BankBot como o aplicativo SMS padrão e obtém permissão para substituir outros apps.
Uma vez que essas tarefas são executadas, o malware tenta roubar dados do cartão de crédito da vítima. Quando o usuário executa o aplicativo do Google Play, o BankBot entra em ação e sobrepõe o app legítimo com uma forma falsa, que solicita os detalhes do cartão de crédito do usuário.
Legenda: formulario falso solicitando dados do cartão de crédito da vítima
Nesta etapa, o usuário pode cair na armadilha, inserir seus dados e ser enganado. O BankBot também se estabelece como o aplicativo de mensagens padrão, portanto, pode interceptar todas as mensagens SMS que passam pelo dispositivo infectado. Isso permite que os criminosos possam burlar a dupla autenticação baseada em SMS para o acesso à conta bancária da vítima, o que seria potencialmente o último obstáculo para concretizar o ato criminoso.
“As técnicas combinadas tornam muito difícil para a vítima reconhecer a ameaça em tempo. Inserir um serviço que afirma ser do Google e aguardar 20 minutos antes de mostrar a primeira advertência faz com que a vítima tenha poucas chances de relacionar a atividade do trojan com a instalação do Jewel Star Classic que baixou há pouco”, explica Camilo Gutierrez, chefe do laboratório de pesquisa da ESET América Latina. “Para detectar e eliminar a ameaça com todos os seus componentes, recomendamos o uso de uma solução de segurança móvel”, conclui.
Para verificar se um dispositivo está infectado, a ESET recomenda prestar atenção nos seguintes indicadores:
• Presença de um aplicativo chamado “Google Update”
• Um gerenciador de dispositivo ativo chamado “Atualização do sistema”
• Aparecer repetidas vezes na tela o alerta “Google Service”
Se algum desses indicadores for detectado, é provável que o dispositivo tenha sido infectado com esta variação do BankBot. Para limpar manualmente um dispositivo, primeiro é preciso desativar os direitos de administrador na “Atualização do sistema”, então, desinstalar o “Google Update” e o aplicativo trojan relacionado, neste caso o Jewel Star Classic.
Além de usar uma solução de segurança confiável, a ESET recomenda levar em conta outros aspectos para evitar ser vítima de malwares em celulares:
• Quando possível, dê prioridade às lojas de aplicativos oficiais e não à alternativas. O Google Play emprega mecanismos de segurança avançados, o que nem sempre é o caso em outras lojas.
• Antes de fazer o download de um aplicativo, é importante verificar sua popularidade, observando o número de instalações, classificações e comentários de usuários anteriores.
• Depois de executar qualquer coisa que tenha sido instalada em um dispositivo móvel, deve-se prestar atenção às permissões e direitos que ele solicita. Se um aplicativo requer permissões intrusivas, especialmente relacionadas à acessibilidade, é preciso ler cuidadosamente e permitir somente aquelas que se tem certeza de estarem conectadas a um aplicativo confiável.
Para obter mais informações, acesse o portal de notícias da ESET, WeLiveSecurity:https://www.welivesecurity.com/br/2017/09/25/trojan-bankbot-google-play/ |
