Trojan para Android imita app do INSS para roubar usuários no Brasil

Um novo malware focado no Brasil, chamado BeatBanker, está usando um aplicativo falso do INSS para atacar celulares Android, transformando o aparelho em um centro de mineração de criptomoedas e roubando dados da vítima. O app fake é chamado INSS Reembolso, sendo encontrado em diversas versões diferentes.

• O que é malware?
• Vírus, Worm e Trojan: Diferenciando os termos para não chamar tudo de “vírus”

Para entregar a versão fraudulenta, os cibercriminosos também emulam a Google Play Store com uma página web falsa chamada cupomgratisfood.shop. Junto ao aplicativo, no entanto, está um trojan com várias capacidades de extração de dados e instalação de malwares subsequentes.

BeatBanker e capacidades hackers

Para escapar de detecção, o trojan utiliza inúmeras táticas: sua execução, por exemplo, é diretamente na memória do celular, não deixando traços no armazenamento. Como antivírus mobile buscam arquivos suspeitos, não encontrarão nada.

–
Entre no Canal do WhatsApp do Canaltech e fique por dentro das últimas notícias sobre tecnologia, lançamentos, dicas e tutoriais incríveis.
–

O agente malicioso também detecta se está em ambiente simulado, como uma máquina virtual, tática usada por antivírus e pesquisadores para identificar e estudar vírus. Caso note estar sendo analisado, o malware encerra as atividades na hora.

Ele também toca um áudio de cinco segundos em loop eterno, com volume baixíssimo, garantindo que o processo continue ativo: o sistema operacional entende que interromper áudios seria ruim para o usuário. Uma notificação fake de atualização do sistema fica fixada nas notificações, o que leva para outras etapas de invasão.

Ao clicar na notificação, o malware baixa um minerador de criptomoedas, que toma cuidado para não superaquecer o aparelho ou gastar demais a bateria. A comunicação com o servidor hacker é escondida entre comunicações legítimas do Firebase Cloud Messaging, da Google. O BeatBanker também instala um módulo bancário que pede permissões de acessibilidade para ganhar controle de todas as funções do celular.

Em outras versões, é entregue o BTMOB RAT, trojan de acesso remoto disponível para hackers como serviço (MaaS): em outras palavras, o acesso ao seu celular é vendido para outros cibercriminosos. O malware é capaz de gravar a tela, o teclado (keylogging), as câmeras e a localização da vítima.

Leia a matéria no Canaltech.