Campanha de aplicações Android falsas visa as carteiras de clientes bancários na Malásia – e pode expandir-se para outros países

​

• Os investigadores da ESET analisaram três aplicações Android maliciosas que visam os clientes de 8 bancos malaios.
• Nesta campanha em curso, com início no final de 2021, os atacantes criam websites falsos, mas com uma aparência legítima. Os websites persuadem os clientes a descarregar aplicações maliciosas.
• Os agentes maliciosos usam estas aplicações falsas de comércio eletrónico para roubar informações bancárias. As apps também encaminham todas as mensagens SMS recebidas pela vítima para os operadores do malware caso contenham códigos de autentificação de 2 fatores enviados pelo banco.
• Atualmente, a campanha visa alvos exclusivamente da Malásia, mas pode expandir-se para outros países. No mais recente Threat Report, do último quadrimestre de 2021, a ESET observou um crescimento alarmante nas deteções de malware em serviços bancários por Android.

Os investigadores da ESET, empresa global líder em soluções de cibersegurança, analisaram três aplicações Android maliciosas que visam os clientes de 8 bancos na Malásia. Para tirar proveito dos clientes, que devido à pandemia optam cada vez mais por fazer compras online, os cibercriminosos estão a persuadir estes utilizadores a descarregar aplicações maliciosas de comércio eletrónico.
​
Nesta campanha em curso, que a ESET reconhece poder expandir-se para outros países, os agentes maliciosos estão a tentar roubar informações bancárias através de websites falsos com uma aparência legítima, por vezes copiados exatamente da fonte. Estes websites usam domínios semelhantes aos serviços que estão a tentar replicar.

Reportada originalmente no final de 2021, a campanha persuade potenciais vítimas a descarregar malware Android de comércio eletrónico a partir de botões nos websites maliciosos. Em vez de direcionarem os utilizadores para o Google Play, os botões encaminham os utilizadores para servidores sob o controlo dos cibercriminosos.

Para ser bem-sucedido, este ataque requer que as vítimas autorizem a opção “Install unknown apps”, que não está ativa por definição, nos seus dispositivos. Após fazerem uma compra nestas apps, as vítimas podem pagar com cartão de crédito, ou transferindo o montante a partir das suas contas bancárias. À data desta investigação da ESET, não era possível selecionar a opção de pagamento com cartão.

Escolhendo o método de transferência direta, é apresentada uma página falsa para pagamento com opção de seleção de um dos 8 bancos malaios, pedindo-se depois a introdução das credenciais. Após os utilizadores submeterem a sua informação, recebem uma mensagem de erro, informando-os que o nome de utilizador ou palavra-passe introduzidas são inválidas. Neste momento, as credenciais introduzidas são enviadas para os operadores do malware.

Para garantir que os agentes maliciosos obtêm as informações bancárias dos utilizadores, as aplicações falsas de comércio eletrónico também encaminham todas as mensagens SMS recebidas pelos utilizadores para os cibercriminosos caso contenham códigos de autentificação de 2 fatores enviados pelo banco.

As três aplicações analisadas pela ESET contêm o mesmo código maliciosos. A especialista em cibersegurança concluiu que as aplicações podem ser atribuídas ao mesmo agente malicioso.

No Threat Report do último quadrimestre de 2021, a ESET observou um crescimento alarmante nas deteções de malware em serviços bancários por Android, que aumentaram 428% em 2021 em comparação com 2020. E embora esta campanha vise, para já, alvos exclusivamente da Malásia, há um potencial de expansão das atividades maliciosas para outros países e bancos. Além disso, apesar de neste momento os atacantes estarem a perseguir credenciais bancárias, é possível que no futuro também procurem roubar informações de cartão de crédito.

Para mais informações, incluindo dicas de como se proteger contra este tipo de ameaça, consulte o artigo completo no WeLiveSecurity.

Imagens de alta resolução: https://fotos.aempress.com/WhiteHat/ESET/Campanha-de-apps-Android-falsas-na-Malasia