Pesquisadores de cibersegurança revelaram detalhes de um novo trojan bancário para Android chamado Hirudo, que funciona substituindo aplicativos bancários legítimos por versões adulteradas, especialmente preparadas para burlar verificações de segurança de dentro do próprio aplicativo, o que representa uma nova escalada nas fraudes financeiras.
A ThreatFabric, empresa holandesa de segurança para dispositivos móveis, afirmou ter identificado substitutos para oito aplicativos bancários indonésios, enquanto o direcionamento de credenciais do malware abrange Indonésia, China, Índia, México, Marrocos e Tailândia.
“A operação combina roubo de credenciais, tomada de controle do dispositivo, captura de tela e de câmera e roubo de SMS (mensagens de texto), em conjunto com uma infraestrutura de back-end bastante madura”, afirmou Eward Driehuis, vice-presidente de engenharia de fraudes da ThreatFabric, em comunicado compartilhado com o The Hacker News.
O Hirudo permite o roubo de credenciais diretamente no dispositivo e o controle remoto em tempo real. O malware é distribuído por aplicativos de distribuição, conhecidos como droppers, nas categorias de compras, vídeos adultos e entretenimento. Eles carregam o trojan como um pacote de instalação separado, que é então entregue como uma atualização dentro do aplicativo.
Alguns dos aplicativos droppers estão listados abaixo:
- Shopora (com.agbbh.kjdrttt)
- 1V1 X (com.onev.vip)
- KoiShort (com.koishort.app)
- ZoyaTV (com.zoyatv.app)
“A isca é funcional, carregando conteúdo real em um WebView (componente que exibe páginas da web dentro do aplicativo), como uma vitrine de produtos, um catálogo de vídeos ou dramas curtos, então a experiência parece legítima”, explicou a ThreatFabric. “Por trás desse conteúdo, o dropper executa uma rotina de inicialização fixa: ele coleta dados de rastreamento de promoções, busca sua configuração de campanha e verifica se a carga útil, o RAT Hirudo (trojan de acesso remoto), já está instalada com o serviço de acessibilidade e o acesso a notificações ativados.”
Se ela não estiver presente, o aplicativo exibe um falso aviso de atualização dentro do app para acionar a instalação do malware. Vale ressaltar que o Hirudo é instalado como um segundo aplicativo e precisa receber suas próprias permissões antes de executar as atividades maliciosas.
Como observado no caso do StreamRat, o malware implementa uma técnica antidetecção baseada no bloqueio do acesso à internet, configurando uma conexão VPN (rede privada virtual) deliberadamente não funcional antes da instalação da carga útil. Isso é visto como uma tentativa de impedir que outros aplicativos e serviços, como o Google Play Protect, realizem verificações baseadas em nuvem sobre a carga útil.
“No entanto, o Play Protect também oferece detecção offline para aplicativos potencialmente nocivos conhecidos, o que significa que o mecanismo não desativa completamente sua proteção”, observou a ThreatFabric no mês passado. “Por isso, avaliamos que a técnica tem mais probabilidade de reduzir a eficácia dos mecanismos de reputação online e de análise de código do que de contornar totalmente o Play Protect.”
Dependendo do tipo de aplicativo-isca utilizado, o dropper também é projetado para exibir telas falsas que capturam PINs de pagamento, apresentar telas falsas que solicitam credenciais de login de bancos e carteiras digitais, mostrar sobreposições falsas de padrão e PIN da tela de bloqueio e permitir o controle remoto total do dispositivo.
Embora todo esse comportamento seja comum em trojans bancários para Android, são as tentativas de substituir o aplicativo bancário-alvo por uma cópia adulterada que se destacam. Especificamente, as substituições especialmente preparadas incorporam um mecanismo de hooking (técnica de interceptação de funções) para neutralizar, de dentro do aplicativo, verificações de assinatura, de acessibilidade, de captura de tela e do Play Integrity. A substituição tem como alvo oito aplicativos indonésios.
“Nesses casos, o RAT detecta o aplicativo bancário instalado por meio da acessibilidade, verifica seu certificado de assinatura em relação a uma referência armazenada, [e] então exibe um falso aviso de ‘atualização’”, explicou a ThreatFabric. “Ele abre o desinstalador do Android para o aplicativo genuíno sem esperar que o usuário toque na tela, e baixa a substituição específica para o banco em paralelo.”
Embora a necessidade de remover o aplicativo antes de instalar sua cópia maliciosa quase idêntica seja uma “limitação real”, o mecanismo oferece a possibilidade de contornar as próprias verificações de segurança do aplicativo bancário, devolvendo respostas previamente definidas pelo atacante.
Isso envolve devolver o certificado de assinatura do aplicativo genuíno, retornar uma lista vazia ao consultar os serviços de acessibilidade habilitados e remover o sinalizador FLAG_SECURE, que impede a captura de tela e a gravação das telas do aplicativo. Com isso, as telas do app podem ser visualizadas e gravadas remotamente.
“Os certificados de atestação de chave são reassinados com um keybox incluído, e as solicitações do Play Integrity são retransmitidas por HTTP (protocolo de transferência de hipertexto) a um servidor controlado pelos operadores, que retorna um veredito para o aplicativo aceitar”, afirmou a empresa de segurança para dispositivos móveis.
“Dois detalhes merecem destaque para os defensores. Primeiro, o keybox de atestação que o mecanismo incorpora não pertence aos operadores: trata-se de um keybox publicamente vazado. Segundo, como a solicitação de integridade é retransmitida, e não gerada de forma genuína, uma resposta válida de integridade, por si só, não é prova de que o aplicativo não foi adulterado.”
Há indícios de que o malware é distribuído por meio de páginas web falsas que se passam por páginas de destino da Google Play Store para aplicativos de compras, dramas curtos e futebol. Avalia-se que usuários desavisados são direcionados a esses sites por meio de anúncios nas plataformas de mídia social da Meta.
Toda a operação se apoia em um back-end que combina controle do dispositivo com a capacidade de gerenciar diferentes campanhas e dados roubados, incluindo registros de dispositivos, histórico da tela de bloqueio e perfis financeiros com renda mensal e campos de pontuação de risco.
“O Hirudo marca uma escalada deliberada na forma como os bancários para Android abordam aplicativos reforçados”, afirmou a ThreatFabric. “Ao mover sua adulteração para dentro do aplicativo-alvo, a operação desloca a disputa do dispositivo para as verificações de integridade do próprio aplicativo, e de uma correção sob medida para um mecanismo reutilizável que pode ser direcionado a outros aplicativos e regiões.”
“Uma vez que um aplicativo pode ser substituído, seus sinais produzidos localmente, como assinatura, lista de acessibilidade e veredito de integridade, devem ser tratados como influenciados pelo atacante e verificados no lado do servidor”, afirmou a ThreatFabric.
No mês passado, a descoberta veio pouco mais de um mês depois de a empresa de cibersegurança revelar que o StreamRat tinha como alvo usuários de língua espanhola por meio de anúncios no Meta e no TikTok que se passavam por um serviço gratuito de streaming de TV chamado Streamtv Esp, para obter controle sobre dispositivos Android comprometidos.
“O StreamRat abusa dos serviços de acessibilidade e do MediaProjection para oferecer aos operadores controle quase completo sobre os dispositivos infectados, combinando VNC (protocolo de computação remota) e controle de tela oculta, coleta da árvore de interface, registro de teclas, sobreposições para roubo de credenciais e recursos de bloqueio de internet e de tela”, afirmou a ThreatFabric.
