AppLite Banker Mobile Malware

Especialistas em segurança cibernética descobriram um esquema sofisticado de phishing com o objetivo de distribuir uma variante atualizada do Trojan bancário Antidot. Operando como uma campanha de phishing (ou mishing) móvel, os invasores se disfarçam de recrutadores oferecendo oportunidades de emprego atraentes.

Ofertas de Emprego que Escondem Más Intenções

Posando como parte de um processo legítimo de recrutamento, os invasores enganam as vítimas para que baixem um aplicativo fraudulento. Esse aplicativo ameaçador serve como um dropper, entregando a nova variante do Antidot Banker ao dispositivo da vítima sob o disfarce de software legítimo.

Apresentando o AppLite Banker: Uma Ameaça Disfarçada

O malware atualizado, codinome AppLite Banker pelos pesquisadores de segurança, ostenta capacidades avançadas. Ele pode extrair credenciais de desbloqueio de dispositivos, como PINs, padrões ou senhas, e assumir remotamente o controle de dispositivos infectados. Esses recursos ecoam táticas vistas em ameaças semelhantes, como TrickMo.

Engenharia Social e Esquemas de Emprego

Os invasores empregam táticas de engenharia social para atrair vítimas com promessas de oportunidades de emprego lucrativas. Por exemplo, uma campanha de phishing de setembro de 2024 personificou uma empresa canadense, a Teximus Technologies, alegando oferecer funções remotas de atendimento ao cliente com salários por hora atrativos e potencial de crescimento na carreira. As vítimas que interagem com esses "recrutadores" são direcionadas a baixar aplicativos inseguros de sites de phishing, iniciando o processo de instalação do malware.

Aplicativos Falsos e Domínios de Phishing

Os aplicativos nocivos, disfarçados como ferramentas de CRM de funcionários, são distribuídos por meio de uma rede de domínios enganosos. Esses aplicativos dropper evitam habilmente a detecção manipulando arquivos ZIP e ignorando as defesas de segurança. As vítimas são solicitadas a registrar uma conta e instalar uma atualização de aplicativo falsa, ostensivamente para "manter seu telefone protegido". A suposta atualização é então entregue por meio de uma interface falsificada da Google Play Store, concluindo a implantação do malware.

Explorando Recursos de Acessibilidade para Executar Atividades Prejudiciais

Assim como nas iterações anteriores, o aplicativo AppLite Banker abusa das permissões do Android Accessibility Services. Esse acesso permite que ele sobreponha telas, conceda permissões a si mesmo e execute outras atividades prejudiciais.

As principais funcionalidades incluem:

• Roubar credenciais de contas do Google por meio de sobreposições de tela.
• Modificar configurações do dispositivo, como brilho da tela e aplicativos padrão.

• Interagir com telas de bloqueio usando PINs, padrões ou senhas.

• Impedindo a desinstalação do malware.

Controle Expandido sobre Dispositivos Infectados

A versão mais recente apresenta recursos que aumentam seu nível de ameaça, incluindo:

• Bloqueio de chamadas e ocultação de mensagens SMS com base em instruções do servidor remoto.
• Servindo páginas de login falsas para 172 bancos, carteiras de criptomoedas e plataformas de mídia social como Facebook e Telegram.
• Habilitando keylogging, roubo de SMS, encaminhamento de chamadas e Virtual Network Computing (VNC) para manipular dispositivos remotamente.

Um Público-Alvo Global

A campanha parece ter como alvo usuários de diversas regiões, especialmente aqueles proficientes em idiomas como inglês, espanhol, russo, francês, alemão, italiano e português.

A Defesa Proativa é Fundamental

Dada a natureza sofisticada e o impacto de longo alcance dessa ameaça, implementar medidas de proteção robustas é essencial. Os usuários devem ter cuidado ao receber ofertas de emprego não solicitadas ou solicitações para instalar aplicativos externos. Permanecer vigilante e priorizar a segurança móvel pode ajudar a evitar potenciais perdas financeiras e de dados.