Atores maliciosos estão abusando do programa Early Access do Google Play para distribuir aplicativos enganosos que prometem dinheiro, recompensas, ganhos em cassino e conteúdo premium.
Os aplicativos em Early Access são aqueles que ainda não foram lançados oficialmente na loja oficial de aplicativos Android. A ideia principal do programa é permitir que os desenvolvedores solicitem feedback dos usuários para novos aplicativos ou funcionalidades antes do lançamento.
Um detalhe importante é que os usuários não podem deixar avaliações públicas nem notas em estrelas para aplicativos disponíveis em Early Access. Isso abriu espaço para um novo tipo de abuso, no qual agentes de ameaça distribuem milhares de aplicativos em Early Access com conteúdo enganoso, incluindo jogos de cassino falsos, apps de recompensas, utilitários enganosos e títulos que podem infringir marcas registradas de terceiros.
Entre os aplicativos identificados está um imitador de Grand Theft Auto chamado "Vice Streets: Open World" (pacote APK: com.gamblechaos.withfriends.game), que já ultrapassa 1 milhão de downloads. O jogo não tem avaliações nem notas. Atualmente, ele não está mais disponível na Google Play Store, embora não esteja claro se foi removido pelo Google ou pelo próprio desenvolvedor.
"A mesma funcionalidade que protege os desenvolvedores de críticas injustas também tira dos usuários o primeiro sinal de alerta de que um aplicativo não é confiável", afirmou a Bitdefender em comunicado.
Como os usuários não podem deixar avaliações críticas nem notas baixas, os sinais tradicionais de confiança deixam de funcionar, permitindo que esses aplicativos ganhem tração. Segundo relatos, eles são promovidos por meio do TikTok, Facebook e outras redes sociais usando anúncios fraudulentos que incluem vídeos com deepfakes de celebridades gerados por inteligência artificial (IA).
"Um padrão recorrente entre os aplicativos suspeitos do Early Access envolve prometer recompensas em dinheiro, pagamentos via PayPal, ganhos em criptomoedas, cartões-presente, giros grátis ou jackpots de cassino", disse a empresa romena de cibersegurança em um relatório compartilhado com o The Hacker News.
"Muitos desses aplicativos dependem do mesmo ciclo de engajamento. O usuário instala o app depois de assistir a um anúncio no TikTok ou no Facebook. Pode até receber recompensas virtuais generosas quase imediatamente, mas, quando alcança um limite para saque, o progresso desacelera drasticamente. O pagamento prometido nunca chega."
O objetivo final é gerar receita ilícita exibindo anúncio após anúncio. Outra vantagem que esses aplicativos de cassino em Early Access têm é que lhes permite contornar diversos requisitos regulatórios que os aplicativos de apostas legítimos precisam cumprir.
Para driblar as restrições de licenciamento, geolocalização e verificação de idade, os aplicativos no estilo cassino se disfarçam de jogos casuais de caça-níqueis e de puzzles e são promovidos agressivamente por meio de anúncios em redes sociais que levam usuários desavisados a apps em Early Access na Google Play Store ou diretamente a diversos sites de apostas.
Análises adicionais indicam que os atrativos usados para esses aplicativos vão além de jogos de cassino, caça-níqueis e apps de recompensa falsos, incluindo leitores de PDF, leitores de QR, localizadores de celular, apps utilitários e jogos com temas de marcas registradas.
"O programa Early Access do Google continua sendo uma ferramenta valiosa para desenvolvedores que testam novas ideias", afirmou a Bitdefender. "Remover os comentários e as notas protege os desenvolvedores legítimos de campanhas injustas de avaliações negativas, mas também remove uma das defesas mais fortes da comunidade contra softwares enganosos."
O The Hacker News entrou em contato com o Google para obter um posicionamento e atualizará a matéria caso receba retorno.
A divulgação coincide com o surgimento de diversas famílias de malware voltadas para o Android:
- Hagaseca, um cavalo de Troia de acesso remoto (RAT, da sigla em inglês para Remote Access Trojan) distribuído por meio do loader THost9, que contém um componente de worm. Esse worm escaneia serviços expostos do Android Debug Bridge (ADB, ou Ponte de Depuração do Android) e instala o malware para garantir persistência e controle remoto por meio de execução de comandos no shell, transferência de arquivos, tunelamento e módulos baixáveis.
- Mantax Otax, um malware híbrido para dispositivos móveis que combina amplas funcionalidades de spyware e ransomware, permitindo ao operador roubar dados sensíveis, criptografá-los em versões mais antigas do Android (Android 9 ou anterior) e exigir pagamento de resgate ao bloquear a tela do dispositivo. Indicadores de idioma e arquivos das vítimas sugerem que a atividade é focada principalmente em alvos indonésios.
- StreamRat, que abusa dos serviços de acessibilidade do Android e da API (Interface de Programação de Aplicações) MediaProjection para controlar dispositivos infectados, exibir sobreposições e coletar dados sensíveis. O malware tem como alvo usuários hispanófonos por meio de anúncios no Meta e no TikTok, levando-os a sites falsificados que se passam por um serviço gratuito de streaming de TV chamado StreamTV Esp.
O caso também coincide com o uso, pela GoldFactory, do trojan bancário Gigabud para instalar um aplicativo Android companheiro chamado Vwork, uma versão modificada (fork) armada do Shelter, com o objetivo de clonar um aplicativo alvo dentro de um perfil de trabalho para realizar fraudes financeiras. Práticas semelhantes vêm sendo...
"Com controle remoto total e, quando relevante, um aplicativo bancário clonado em funcionamento, o operador realiza transações diretamente no celular da vítima enquanto uma tela preta esconde o que está acontecendo", disse a Group-IB. "Um ambiente clonado é usado para driblar controles de proteção contra fraudes."
