Malware que rouba credenciais bancárias e intercepta mensagens SMS é encontrado na Play Store

Jardeson Márcio
3 minutos de leitura

A equipe do Zscaler ThreatLabz encontrou o trojan bancário chamado Xenomorph incorporado em um aplicativo Lifestyle na Google Play Store. O malware foi encontrado no aplicativo Todo: Day manager, que conta com mais de 1.000 downloads na loja do Google.

Malware Xenomorph encontrado na Play Store

O malware Xenomorph rouba informações de login dos aplicativos bancários dos dispositivos dos usuários. Além disso, tem a capacidade de interceptar mensagens e notificações SMS dos usuários, permitindo acesso a senhas de uso único e solicitações de autenticação multifator.

De acordo com a equipe do Zscaler ThreatLabz, “Nossa análise descobriu que o malware bancário Xenomorph é descartado do GitHub como um aplicativo falso do Google Service após a instalação do aplicativo”.

Ainda de acordo com a equipe, ele “começa pedindo aos usuários que ativem a permissão de acesso. Uma vez fornecido, ele se adiciona como administrador do dispositivo e impede que os usuários desativem o administrador do dispositivo, tornando-o desinstalável do telefone”.

Ciclo de Infecção do malware

O aplicativo obtém o URL do payload do malware bancário quando é iniciado pela primeira vez ao se conectar a um servidor Firebase. As amostras maliciosas de malware bancário Xenomorph são então baixadas do Github.

Mais tarde, para buscar mais comandos e espalhar a infecção, esse malware financeiro entra em contato com os servidores de comando e controle (C2) usando o conteúdo da página do Telegram ou uma rotina de código estático.

malware-que-rouba-credenciais-bancarias-e-intercepta-mensagens-sms-e-encontrado-na-play-store

Os pesquisadores dizem que o malware encontrado na Play Store só baixará mais cargas úteis bancárias se o parâmetro “Enabled” estiver definido como verdadeiro. Além disso, a carga útil bancária tem o link da página do Telegram codificado com criptografia RC4. Após a execução, o payload bancário entrará em contato com a página do Telegram e baixará o conteúdo hospedado nessa página.

Aplicativo infectado

Em um caso, se um aplicativo legítimo for instalado no dispositivo infectado, ele exibirá a página de login falsa de um aplicativo bancário direcionado. Outro programa chamado “Expense Keeper” também foi visto pelo ThreatLabz como agindo de maneira semelhante, aponta o Security Affairs. Quando esta aplicação é executada, verifica-se que o “Parâmetro Ativado” está definido como falso.

A URL do Dropper para a carga bancária não pôde ser recuperada. Para o mesmo, o ThreatLabz colabora com a equipe de segurança do Google. Esses instaladores de phishing bancário frequentemente confiam em enganar os usuários para que instalem programas prejudiciais.

Os usuários precisam prestar atenção aos aplicativos que estão instalados. Um aplicativo da Play Store não deve exigir que os usuários o instalem de fontes não confiáveis Então, lembre-se disso!

Share This Article
Follow:
Jardeson é Mestre em Tecnologia Agroalimentar e Licenciado em Ciências Agrária pela Universidade Federal da Paraíba. Entusiasta no mundo tecnológico, gosta de arquitetura e design gráfico. Economia, tecnologia e atualidade são focos de suas leituras diárias. Acredita que seu dia pode ser salvo por um vídeo engraçado.