Spyware ClayRat
Uma campanha de spyware para Android em rápida evolução, conhecida como ClayRat, surgiu como uma ameaça significativa aos usuários, principalmente na Rússia. Os invasores exploram uma combinação de canais do Telegram e sites de phishing semelhantes, se passando por aplicativos populares como WhatsApp, Google Fotos, TikTok e YouTube para induzir as vítimas a instalar o malware.
Índice
Como o ClayRat se espalha
A cadeia de ataques começa quando usuários desavisados são redirecionados para sites fraudulentos com links para canais do Telegram controlados pelos invasores. Nesse caso, as vítimas são induzidas a baixar arquivos APK maliciosos por meio de:
- Contagens de downloads infladas artificialmente
- Depoimentos fabricados alegando popularidade do aplicativo
Alguns sites maliciosos se disfarçam como se oferecessem versões aprimoradas de aplicativos populares, como o YouTube Plus, e hospedam arquivos APK projetados para contornar medidas de segurança em dispositivos com Android 13 e versões posteriores.
Certas amostras do ClayRat funcionam como droppers, apresentando um aplicativo leve com uma tela falsa de atualização da Play Store. O payload real é criptografado e oculto nos ativos do aplicativo, permitindo que o malware contorne as restrições da plataforma e aumente as taxas de sucesso da instalação.
Capacidades Maliciosas
Uma vez instalado, o ClayRat ativa uma série de funcionalidades intrusivas:
- Exfiltra mensagens SMS, registros de chamadas, notificações e informações do dispositivo
- Captura fotos usando a câmera frontal
- Envia mensagens SMS ou faz chamadas diretamente do dispositivo infectado
- Coleta uma lista de todos os aplicativos instalados e a envia ao servidor de Comando e Controle (C2)
O malware também se propaga agressivamente enviando links maliciosos para todos os contatos na agenda da vítima, transformando efetivamente os dispositivos comprometidos em nós de distribuição automatizados.
Sofisticação Técnica
Pesquisadores de segurança observaram mais de 600 amostras e 50 conta-gotas de ClayRat nos últimos 90 dias. Cada nova iteração adiciona camadas de ofuscação, dificultando a detecção.
A comunicação com a infraestrutura C2 depende de protocolos HTTP padrão, e o malware solicita que os usuários o tornem o aplicativo de SMS padrão para obter acesso a conteúdo confidencial e funções de mensagens. Esses recursos permitem que invasores realizem vigilância e expandam o alcance do malware sem intervenção manual.
Medidas de proteção
Apesar de sua potência, o ClayRat é atenuado pelo Google Play Protect, que vem habilitado por padrão em dispositivos com o Google Play Services. O Play Protect protege automaticamente os usuários contra versões conhecidas do malware.
O ClayRat representa uma ameaça dupla: espiona as vítimas e, ao mesmo tempo, transforma seus dispositivos em ferramentas para a propagação de malware. Sua combinação de engenharia social, técnicas avançadas de evasão e distribuição automatizada o torna um adversário formidável no cenário de ameaças para Android.
