Variante de malware HOOK para Android

Pesquisadores de segurança cibernética identificaram uma nova variante do trojan bancário para Android, conhecido como HOOK, agora com sobreposições no estilo ransomware, projetadas para extorquir vítimas. Isso marca uma evolução significativa em suas capacidades, levando-o além do malware bancário tradicional.

Extorsão de sobreposição no estilo ransomware

Uma das novidades mais marcantes da variante mais recente é a capacidade de implantar uma sobreposição de ransomware em tela cheia. Essa sobreposição exibe uma mensagem ameaçadora de "AVISO", acompanhada por um endereço de carteira e um valor de resgate recuperados dinamicamente do servidor de comando e controle (C2).

A tela de extorsão é acionada remotamente quando o servidor C2 envia o comando 'ransome' e pode ser descartada quando o invasor emite a instrução 'delete_ransome'.

Raízes no Trojan bancário ERMAC

O HOOK é considerado um desdobramento direto do trojan bancário ERMAC, cujo código-fonte vazou online anteriormente. Assim como o ERMAC, o HOOK depende fortemente dos serviços de acessibilidade do Android e de telas de sobreposição fraudulentas para roubar credenciais, automatizar fraudes financeiras e assumir o controle de dispositivos infectados.

Recursos avançados de espionagem e exploração

Além do roubo de credenciais, o HOOK oferece uma variedade de recursos invasivos. Ele pode:

• Envie mensagens SMS para números controlados pelo invasor.
• Transmita uma transmissão ao vivo da tela da vítima.
• Capture imagens usando a câmera frontal.
• Roube cookies e frases de recuperação vinculados a carteiras de criptomoedas.

Essas funções destacam a convergência do HOOK com recursos de spyware, oferecendo aos invasores amplas opções de vigilância e roubo.

Expansão de Comandos Remotos

A versão mais recente do HOOK suporta 107 comandos remotos, com 38 novos recursos adicionados. Isso aumenta sua capacidade de enganar usuários e coletar dados confidenciais.

Alguns dos novos comandos mais notáveis incluem:

• ransome – Exibe uma sobreposição de estilo ransomware no dispositivo
• delete_ransome – Remove a sobreposição de ransomware
• takenfc – Mostra uma tela falsa de escaneamento NFC para capturar dados do cartão

• unlock_pin – Apresenta uma tela de desbloqueio falsa para roubar PINs ou padrões do dispositivo

• takencard – imita o Google Pay para obter detalhes do cartão de crédito

• start_record_gesture – Usa uma sobreposição transparente para registrar os gestos do usuário

Canais de Distribuição em Larga Escala

Pesquisadores rastrearam a distribuição do HOOK até sites de phishing e repositórios fraudulentos do GitHub que hospedam arquivos APK maliciosos. O uso do GitHub para distribuição de malware não é novidade; famílias como ERMAC e Brokewell também se espalharam pela plataforma, demonstrando sua crescente popularidade entre os cibercriminosos.

Desfocando a linha entre as categorias de malware

A rápida evolução do HOOK reflete uma tendência preocupante em ameaças móveis: a convergência de trojans bancários, spyware e técnicas de ransomware. Ao expandir constantemente seus recursos e se espalhar por meio de campanhas em larga escala, o HOOK representa um risco crescente para instituições financeiras, empresas e usuários comuns de Android.