Drinik Android Banking Trojan
A Equipe Indiana de Resposta a Emergências de Computadores (CERT-In) está alertando os residentes indianos sobre uma campanha de ataque ativa que implanta uma ameaça de malware no Android chamada Drinik. O objetivo do ator da ameaça é obter informações pessoais confidenciais dos dispositivos Android comprometidos, atraindo as vítimas com promessas de reembolso do imposto de renda.
O Drinik não é uma ameaça nova, já que foi usado em 2016. Naquela época, a funcionalidade da ameaça era basicamente limitada a um simples ladrão de SMS. Porém, de acordo com o CERT-In, as versões atuais apresentam altos níveis de desenvolvimento e aprimoramento. Os invasores agora implantam o Drinik como um cavalo de Troia bancário destinado a coletar dados bancários e financeiros junto com outros detalhes pessoais sobre as vítimas.
A Cadeia de Ataque
A operação de ataque atual começa com o agente da ameaça enviando links por meio de mensagens SMS para usuários desavisados. Quando clicado, o link leva a um site de phishing projetado para imitar a página oficial do Departamento de Imposto de Renda da Índiade perto. O site falso pede informações pessoais sobre o usuário antes de baixar um aplicativo corrompido para o dispositivo. O aplicativo carrega o malware Drinik.
O aplicativo atua de forma semelhante à versão legítima do produto de software lançada pelo Departamento de Imposto de Renda para ajudar os usuários a gerar suas restituições de impostos. O aplicativo falso pede várias permissões, como obter acesso às mensagens SMS, registros de chamadas e contatos.
A Funcionalidade Ameaçadora do Drinik
Depois de receber as permissões necessárias, o aplicativo falso exibirá um formulário de pedido de reembolso. Nele, os usuários são solicitados a fornecer vários dados pessoais - nomes completos, PAN, números Aadhaar, endereço, data de nascimento, etc. O aplicativo não para por aí. Ele também pergunta sobre detalhes confidenciais adicionais que podem incluir números de conta, o número CIF, o código IFSC, números de cartão de débito, CVV, dados de expiração e PIN. O aplicativo ameaçador finge que todas as informações são necessárias para gerar restituições de impostos precisas que serão posteriormente transferidas diretamente para a conta do usuário.
No entanto, quando as vítimas tocam no botão 'Transferir', são mostradas uma mensagem de erro e uma tela de atualização falsa enquanto o malware Drinik está compartilhando suas informações com os invasores em segundo plano. Em seguida, os cibercriminosos usam as informações pessoais da vítima para gerar uma tela específica de mobile banking que pede as credenciais de mobile banking do usuário. Os atores da ameaça podem então explorar os dados coletados de várias maneiras, incluindo fraude financeira.
