10 apps na Google Play são identificados com malwares para ataques de contas bancárias – Neotel Segurança Digital
10 apps na Google Play são identificados com malwares para ataques de contas bancárias
melfcastro 11/03/2021
Os pesquisadores encontraram o novo programa malicioso, projetado para introduzir outros tipos de malware no dispositivo móvel das vítimas, integrado a aplicativos Android na Google Play Store
A Check Point descobriu um novo dropper, um programa malicioso projetado para introduzir outro malware nos dispositivos móveis, que se espalhou na Google Play Store. Denominado "Clast82" pelos pesquisadores da empresa, o dropper desviou-se das proteções da loja oficial e executou um malware de segundo estágio, o qual concedia ao cibercriminoso acesso intrusivo às contas bancárias das vítimas, bem como o controle total de seus smartphones. A CPR encontrou o Clast82 em dez aplicativos utilitários, abrangendo funções como gravação de tela ou VPN.
O Clast82 introduz o malware-as-a-service (MaaS) AlienBot Banker com o qual executa o ataque aos aplicativos bancários desviando-se do seu duplo fator de autenticação. Além disso, o Clast82 é composto por um trojan de acesso remoto móvel (MRAT) capaz de controlar o dispositivo com o TeamViewer para que os cibercriminosos tenham acesso ao aparelho como se o tivessem em suas mãos.
Os pesquisadores da Check Point apontaram o método de ataque usado pelo Clast82:
• A vítima baixava um aplicativo malicioso da Google Play Store que contém o programa malicioso Clast82;
• O Clast82 se comunicava com o servidor C&C para receber a configuração;
• O Clast82 baixava uma carga recebida pela configuração para o dispositivo Android e a instalava – neste caso, o malware AlienBot Banker era instalado;
• Os cibercriminosos acessavam as credenciais bancárias da vítima e procediam de modo a ter o controle total do dispositivo móvel.
Firebase (de propriedade do Google) como uma plataforma para comunicação C&C: durante o período de avaliação do Clast82 na Google Play, os cibercriminosos alteraram as configurações no nível de comando e controle usando o Firebase. Por sua vez, o cibercriminoso "desabilitou" o comportamento malicioso do Clast82 durante esse período de avaliação do Google.
Em 28 de janeiro de 2021, o Google foi informado a respeito dessas descobertas e, em 9 de fevereiro de deste ano, o Google confirmou que todos os aplicativos Clast82 foram removidos da Google Play Store.