Uma nova onda de vírus voltada para smartphones com sistema Android ampliou a sofisticação dos golpes bancários no ambiente digital. As ferramentas maliciosas ToxicPanda e GoldDigger ganharam atualizações estruturais que facilitam o roubo de senhas, a captura de códigos de verificação e a realização de transferências financeiras sem que a vítima perceba, apontam novos relatórios.
O avanço mais recente foi registrado pela equipe da Zimperium zLabs, na quarta-feira (19), ao analisar o ToxicPanda 2.0. Em circulação desde 2022, o vírus passou por uma reformulação técnica e expandiu consideravelmente a lista de alvos. Enquanto as primeiras versões atacavam cerca de 16 aplicativos de bancos, o atual modelo contém mecanismos programados para atingir 349 instituições financeiras e plataformas de criptomoedas espalhadas por 16 países.
“Ao abusar do serviço de acessibilidade do Android, os criminosos conseguem roubar todos os elementos da interface na tela, além de utilizar um mecanismo de roubo de credenciais baseado em sobreposição de telas contra 349 instituições financeiras. Em comparação com a versão anterior, a iteração mais recente demonstra uma expansão significativa em seu escopo e em suas capacidades”, afirmou o pesquisador de segurança Vishnu Pratapagiri, da Zimperium.
Fraude na tela
O funcionamento do ToxicPanda ocorre por etapas. Primeiro, o programa tenta induzir a vítima a autorizar o uso de redes virtuais privadas (VPN) para cortar o contato do aparelho com a loja oficial da Google. Em seguida, solicita acesso aos Serviços de Acessibilidade do sistema operacional. Com essa porta aberta, a ferramenta passa a ler o que é digitado, simula toques na tela e cria camadas visuais invisíveis sobre aplicativos de bancos para registrar números de senhas e PINs.
Outra novidade da versão 2.0 é a capacidade de burlar restrições internas do aparelho. O vírus consegue simular toques nas configurações do telefone, ativar ferramentas avançadas voltadas a desenvolvedores de software e obter controle direto de funções de administrador. Ele sobrepõe avisos falsos de “atualização de sistema” para mascarar ações fraudulentas que ocorrem em segundo plano e tenta driblar o desligamento automático do aplicativo pelas fabricantes para continuar ativo o tempo todo.
As análises da Zimperium também identificaram que as amostras dessa campanha passaram a ser distribuídas a partir de estruturas em nuvem na Amazon AWS.
Disfarce em apps de compras e viagens
Paralelamente, o laboratório da IBM Trusteer publicou uma análise detalhada, em 11 de agosto, sobre a atuação recente do trojan bancário GoldDigger. O programa pertence a um grupo conhecido como GoldFactory e foi visto em campanhas recentes com foco na África do Sul e no Reino Unido. Para atrair vítimas, o vírus se disfarça de aplicativos de companhias aéreas e lojas de varejo, além de oferecer supostas recompensas e telas de cadastro promocional.
Uma vez instalado e com autorização para os serviços de acessibilidade, o GoldDigger passa a operar diretamente no app de banco instalado no telefone do usuário. A ferramenta lê o conteúdo que aparece no tela, captura mensagens de SMS com códigos de autenticação em duas etapas e ordena transferências de dinheiro de forma automática.
“O GoldDigger pode injetar dados no aplicativo bancário para imitar a interação do usuário, como digitar textos, clicar em botões e realizar gestos. Ao fazer isso, o GoldDigger inicia transações fraudulentas a partir do aplicativo bancário da vítima para a conta do invasor”, destacou Shahar Tavor Lusky, pesquisador da IBM Trusteer.
O relatório também revelou que o GoldDigger possui uma estrutura interna complexa para dificultar a análise por antivírus e pesquisadores. Ele cria um ambiente virtual isolado dentro do dispositivo para executar os programas financeiros de interesse dos criminosos. Naquele espaço, os invasores manipulam as respostas do sistema e capturam os dados de acesso sem gerar alertas nos mecanismos tradicionais de defesa.
Apesar da sofisticação crescente de ambos os vírus, os especialistas reforçam que a porta de entrada inicial ainda depende da instalação de arquivos suspeitos fora dos canais oficiais ou da concessão descuidada de permissões.
A recomendação das equipes de segurança é nunca autorizar o uso de Serviços de Acessibilidade para aplicativos desconhecidos, verificar periodicamente a lista de programas instalados no celular, manter o sistema operacional sempre atualizado e utilizar aplicativos autenticadores em vez de códigos por SMS para a confirmação de identidade em duas etapas.
Por falar em universo digital, a Microsoft revelou como um vírus camuflado para Mac engana segurança e rouba dados em segundos. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.
Fonte ==> TecMundo
