Um Aplicativo MFA para o Android é Retirado após Infectar com Malware 10 Mil Dispositivos
Um aplicativo de autenticação multifatorado contendo um Trojan bancário do Android foi retirado recentemente da loja Android no Google Play. No entanto, de acordo com os pesquisadores de segurança, o aplicativo foi baixado cerca de 10 mil vezes antes da desativação.
O aplicativo fez o que disse na lata - ele continha a funcionalidade MFA, tal como em seu nome - "2FA Authenticator". No entanto, ele também continha o Trojan bancário Vultur - um stealer para o Android que pode capturar credenciais de login bancário dos telefones das vítimas.
O Malware Vultur estava Oculto em um Aplicativo MFA Funcional
O problema com o aplicativo foi analisado por uma equipe de pesquisa da empresa de segurança Pradeo. De acordo com o relatório, os hackers que distribuem o Vultur por meio do aplicativo, passaram pelo esforço de criar um aplicativo MFA funcional e de aparência legítima, apenas par terem um veículo convincente para distribuir o Trojan infostealer.
De acordo com a Pradeo, a razão pela qual o aplicativo conseguiu chegar à Loja do Google Play e sobreviver por duas semanas, foi o uso de um código de autenticação de código aberto, pertencente ao projeto Aegis Authenticator. O fato do aplicativo ter um módulo MFA funcionando dentro dele ajudou a disfarçá-lo bem e a faze-lo passar despercebido por um tempo.
O Vultur foi especial porque foi o primeiro RAT a se afastar da sobreposição HTML usual usada nos stealers semelhantes e apenas registrar o que está acontecendo na tela do dispositivo. O malware Vultur foi detectado pela primeira vez no início de 2021.
O Aplicativo Vultur-Laden Pede Privilégios Adicionais
Além de conter o Trojan bancário, o aplicativo MFA malicioso, agora removido, também pedia privilégios que excediam em muito o que foi divulgado na página da loja. Uma vez concedidas, essas permissões permitiriam que os criminosos por trás do malware rastreassem a localização no GPS da vítima, baixassem outros aplicativos e até controlassem todo o dispositivo.
Todos os 10 mil usuários que baixaram o aplicativo malicioso são aconselhados a se livrar dele o mais rápido possível, para minimizar os riscos de roubo de dados e credenciais.