Uma nova variante do GhostBat, um trojan de acesso remoto (RAT, da sigla em inglês para remote access trojan), tem como alvo 60 pacotes de aplicativos financeiros para Android usados na Índia. O malware combina a captura de PIN (número de identificação pessoal) por meio do recurso de acessibilidade com uma sobreposição transparente que intercepta interações dentro das interfaces legítimas do Google Pay e do MobiKwik.
As descobertas ampliam a investigação da Cyble de outubro de 2025, que documentou a disseminação do GhostBat por meio de aplicativos falsos do mParivahan, a coleta de mensagens bancárias e o roubo de senhas do UPI (Unified Payments Interface, sistema de pagamentos instantâneos da Índia) por meio de telas de pagamento falsificadas.
A variante mais recente vai além dessas interfaces de phishing e passa a capturar dados enquanto as vítimas usam aplicativos financeiros genuínos.
A adição mais marcante do GhostBat, chamada Ghost Overlay, exige que a vítima conceda acesso ao Serviço de Acessibilidade do Android. Depois de ativado, o malware monitora os aplicativos em primeiro plano e identifica telas de digitação de PIN.
Em seguida, ele posiciona 12 regiões de toque transparentes sobre o teclado numérico original, usando o tipo de janela TYPE_ACCESSIBILITY_OVERLAY, do Android.
Quando a vítima seleciona um dígito, a sobreposição intercepta o toque e associa suas coordenadas a um valor do teclado. Em seguida, o GhostBat libera temporariamente a região afetada e invoca AccessibilityService.dispatchGesture() para reproduzir o toque dentro do aplicativo legítimo.
As ações de apagar e de confirmação também são monitoradas, o que permite ao malware reconstruir sequências completas de PIN sem substituir a interface visível.
Um mecanismo separado, baseado em acessibilidade, amplia o alvo para 60 identificadores de pacotes associados a serviços bancários, UPI, carteiras digitais, fintechs e pagamentos. Entre eles estão PhonePe, Paytm, BHIM, BharatPe, CRED e outros. Diferentemente do Ghost Overlay, esse mecanismo interpreta eventos de acessibilidade e o contexto da interface para reconstruir entradas semelhantes a PINs.
O número de alvos representa pacotes configurados, e não evidência de que todos os aplicativos foram comprometidos com sucesso.
Os PINs capturados são enfileirados localmente pelo PinUploadWorker antes de serem enviados ao endpoint /pin-data.
A Cyble identificou o domínio api.cloudsettle[.]org como infraestrutura que recebe os dados do Ghost Overlay, com os registros capturados marcados para identificar a origem da coleta.
A investigação da Cyble liga o malware ao GhostX, um ecossistema mais amplo controlado por operadores, que dá suporte a phishing, gerenciamento de dispositivos, configuração de backend e distribuição de malware.
Malware GhostBat para Android
Os pesquisadores identificaram o identificador de projeto do Firebase ghostx-panel ao descompactar uma amostra maliciosa do NextGen mParivahan.
O backend exposto continha registros de clientes, contas de administradores, mapeamentos de usuários de bots, registros de horário de login, impressões digitais de dispositivos e dados de gerenciamento de sessões.
Essas estruturas distinguem o ecossistema de gerenciamento de operadores do GhostX do implante Android do GhostBat.
Mudanças recorrentes em iscas por SMS (mensagens de texto), URLs de phishing, números de registro de veículos e números de telefone dos destinatários indicam administração contínua da campanha.
Papéis distintos de administrador e de usuário sugerem uma arquitetura com múltiplos operadores. Ainda assim, a Cyble tratou um modelo de malware como serviço (MaaS, da sigla em inglês para Malware-as-a-Service) como uma possibilidade, e não como uma oferta comercial confirmada.
A distribuição segue por meio de smishing temático de mParivahan e eChallan, com páginas de download enganosas e APKs (pacotes de instalação de aplicativos Android) hospedados no GitHub.
A Cyble identificou pelo menos seis abordagens de carregadores, que vão de contêineres APK criptografados e carregamento de DEX em memória a downloaders remotos e descompactação nativa em múltiplas etapas.
O carregador mais recente, libnetbridge.so, processa um arquivo de asset criptografado por meio de uma transformação semelhante à cifra RC4, descriptografia AES-256-GCM, descompressão zlib e contêineres personalizados MSZ1/MSP1. Ao final, ele recupera componentes APK divididos, com código executável malicioso principalmente dentro de split_config.dex.apk. Essas camadas dificultam a análise estática e a extração automatizada da carga maliciosa.
O Firebase Remote Config permite que os operadores alterem a infraestrutura de comandos, os pacotes-alvo e algumas capacidades selecionadas, sem precisar redistribuir o APK.
O malware também combina HTTPS, serviços do Firebase e um túnel WebSocket configurável (canal de comunicação bidirecional) para controle.
Usuários devem evitar APKs recebidos por mensagens não solicitadas, como falsas multas de trânsito, verificar aplicativos somente em fontes oficiais e analisar com atenção os pedidos de permissão. Quem suspeitar ter sido vítima deve entrar em contato com o banco imediatamente e registrar a ocorrência.
