Novo vírus para Android troca aplicativos de bancos para roubar senhas

Um novo vírus voltado para celulares Android passou a usar uma tática avançada para roubar dados bancários: o programa malicioso remove os aplicativos legítimos das instituições financeiras e instala versões modificadas no lugar.

Batizado de “Hirudo” , o malware atua para desativar os mecanismos internos de proteção dos bancos e garantir acesso total ao aparelho das vítimas.

O alerta foi emitido pela empresa de segurança cibernética ThreatFabric, em relatório publicado nesta quarta-feira (14).

O ataque começa quando o usuário baixa aplicativos aparentemente inofensivos de compras, vídeos ou entretenimento, descobriram os pesquisadores.

Escondido nesses programas, o vírus exibe uma falsa notificação de atualização para induzir a vítima a conceder permissões do sistema.

Com o acesso liberado, ele baixa a versão alterada do app bancário, abre a tela de desinstalação da plataforma verdadeira e usa os privilégios obtidos para concluir a substituição sem levantar suspeitas.

As versões modificadas mantêm visual e funcionamento quase idênticos aos originais, mas carregam um código interno capaz de enganar o sistema operacional.

Esse mecanismo substitui os certificados digitais de validação, oculta serviços suspeitos em execução e remove a proteção que impede capturas de tela.

Assim, os criminosos conseguem monitorar o celular em tempo real, registrar senhas, capturar códigos PIN de pagamento, ler mensagens SMS e até transmitir imagens das câmeras do aparelho.

A cadeia de fraudes Hirudo.

Um conta-gotas de marca instala uma carga útil separada atrás de uma atualização falsa; uma vez em execução, a carga útil impulsiona várias superfícies de roubo e controle que são reportadas ao backend do operador.

Foto: Reprodução/Threat Fabric Alvo principal e alcance global Apesar de o código do vírus conter registros com alvos em países como China, Índia, México, Marrocos e Tailândia, a estrutura de substituição direta de aplicativos foi direcionada para instituições da Indonésia.

No entanto, os especialistas da ThreatFabric ressaltam que o modelo de ataque pode ser adaptado rapidamente para atingir organizações financeiras em qualquer outra região.

De acordo com o relatório técnico , a estratégia representa um avanço perigoso nas táticas de criminosos virtuais ao focar em falhas no próprio processo dos aplicativos: A página de checkout falso, aqui com a marca Maybank e detalhes de ordem de exemplo.