Pesquisadores descobriram uma infinidade de aplicativos aparentemente legítimos hospedados na Google Play Store que estão escondendo segredos maliciosos. Na quarta-feira, o fornecedor de software antivírus Dr. Web disse que os aplicativos foram descobertos em setembro e incluíam cavalos de Troia bancários, adware, spyware e ladrões de dados. Assim, jogos e aplicativos de fotos no Google Play infectam aparelhos Android com malware.
Segundo a equipe, os aplicativos fingiam ser serviços legítimos, incluindo jogos, utilitários, software de fotografia e galerias de fotos.
Quais jogos e aplicativos de fotos no Google Play infectam aparelhos Android com malware
A família Android.Joker foi incorporada em utilitários Android, plug-ins de câmera e editores de imagem, entre outros softwares.
O Joker contém algumas das funcionalidades típicas de um cavalo de Troia, incluindo a instalação de um backdoor para manter a persistência, o roubo de aparelhos e dados confidenciais do usuário e uma tendência específica em roubar informações financeiras.
No entanto, a equipe diz que o Joker também pode inscrever automaticamente as vítimas em serviços móveis premium sem o seu conhecimento.
Para confirmar a assinatura, eles conectam códigos de verificação a partir de mensagens de texto, diz a equipe. O malware Android.Joker também transfere os dados das listas de contatos das vítimas para o servidor de comando e controle.
Roubo de dados bancários
Se uma vítima caísse no esquema, essas credenciais seriam transferidas para um servidor de comando e controle (C2) controlado pelos operadores do Trojan. Além disso, uma mensagem de erro seria exibida.
O Android.Banker.352.origin também pode monitorar e roubar códigos de autenticação de dois fatores (2FA) de mensagens de texto e e-mails enviados para aparelhos infectados. Portanto, fornece aos atacantes todas as informações necessárias para comprometer as carteiras de criptomoedas pertencentes às vítimas.
Doctor Web acrescentou que o malware contém funcionalidade que permite capturar e bloquear notificações de software de mensagens instantâneas e clientes de e-mail.
Trojan bancário especialmente para brasileiros
Outro Trojan bancário, apelidado Android.Banker.347.origin, também foi flagrado tendo como alvo clientes do serviço de crédito brasileiro.
O local em que esse malware foi encontrado é de interesse. O Trojan foi incorporado a um aplicativo chamado Encontre Mais, anunciado como um meio de localizar membros da família. Na realidade, o Android.Banker.347.origin utiliza o Serviço de Acessibilidade do Android para roubar dados confidenciais de aparelhos. Do mesmo modo, uma atualização recente do malware também abriu a possibilidade de exibir automaticamente sites de phishing.
Os downloaders de cavalos de Tróia também não faltaram nas descobertas do pesquisador. Amostras, incluindo Android.DownLoader.920.origin e Android.DownLoader.921.origin, foram espalhadas por aplicativos de jogos Android e na tentativa de execução de baixar outras cargas úteis de malware.
Adware e spywares
Outras amostras de malware coletadas no Google Play incluem adware da família Android.HiddenAds, oculto principalmente em jogos e outros softwares. Após o lançamento, o adware esconde seu ícone e exibe banners de publicidade. Ele também pode tentar baixar e instalar arquivos APK.
A equipe também encontrou uma variedade de aplicativos spyware no Google Play. O spyware é um malware projetado não apenas para roubar informações, incluindo conteúdo de mensagens, contatos e dados de localização potencialmente por GPS. No entanto, também permite o controle remoto – incluindo o monitoramento de textos, telefonemas e atividades on-line.
Dr. Web diz que, em setembro, novas versões de spyware foram descobertas em aplicativos Android, incluindo Program.Panspy.1.origin, Program.RealtimeSpy.1.origin e Program.MonitorMinor.
Em notícias relacionadas na semana passada, pesquisadores da Universidade Técnica Tcheca, da Universidade UNCUYO e da Avast publicaram pesquisas sobre uma enorme operação de malware direcionada a usuários do Android.
O esquema está em funcionamento desde pelo menos 2016 e combina botnet “Geost” e cavalos de Troia bancários. Acredita-se que até 800.000 usuários do Android tenham sido afetados e dados, incluindo nomes, informações sobre aparelhos e locais, possam ter sido roubados.
Fonte: ZDNet