ESET alerta para um trojan bancário no Google Play

O BankBot conseguiu entrar na loja oficial do Google Play tentando se passar pelo jogo Jewels Star Classic. Os atacantes usaram o nome da saga popular Jewels Star, desenvolvida pela ITREEGAMER, sem que a empresa esteja relacionada a esta campanha maliciosa. Quando a ESET notificou a equipe de segurança do Google sobre o aplicativo malicioso, 5 mil usuários já o tinham instalado em seus computadores.

Ao baixar esta versão do Jewels Star Classic, o que se obtém é um jogo Android que funciona, mas que possui algumas características maliciosas, por exemplo, um malware bancário entre seus recursos, e um serviço malicioso que é executado após uma janela de tempo pré-configurada.

O serviço é ativado 20 minutos após a primeira execução do jogo. O dispositivo infectado exibe um alerta incitando o usuário a habilitar algo chamado “Serviço Google”. Esse alerta aparece independentemente da atividade que o usuário estiver realizando, sem conexão aparente com o jogo.

Ao clicar em OK, o usuário permite ao trojan executar qualquer ação que ele precise para continuar sua atividade maliciosa. Uma vez que as permissões são aceitas, o usuário tem o acesso negado a sua tela, devido a uma suposta “atualização” do Google Service.

Enquanto o usuário espera que a atualização termine, o malware autoriza a instalação de aplicativos de fontes desconhecidas, instala o BankBot a partir de seus recursos e o executa, ativa o Gerenciador de Dispositivos para o BankBot, define BankBot como o aplicativo SMS padrão e obtém permissão para substituir outros apps.

Uma vez que essas tarefas são executadas, o malware tenta roubar dados do cartão de crédito da vítima. Quando o usuário executa o aplicativo do Google Play, o BankBot entra em ação e sobrepõe o app legítimo com uma forma falsa, que solicita os detalhes do cartão de crédito do usuário.

Nesta etapa, o usuário pode cair na armadilha, inserir seus dados e ser enganado. O BankBot também se estabelece como o aplicativo de mensagens padrão, portanto, pode interceptar todas as mensagens SMS que passam pelo dispositivo infectado. Isso permite que os criminosos possam burlar a dupla autenticação baseada em SMS para o acesso à conta bancária da vítima, o que seria potencialmente o último obstáculo para concretizar o ato criminoso.

“As técnicas combinadas tornam muito difícil para a vítima reconhecer a ameaça em tempo. Inserir um serviço que afirma ser do Google e aguardar 20 minutos antes de mostrar a primeira advertência faz com que a vítima tenha poucas chances de relacionar a atividade do trojan com a instalação do Jewel Star Classic que baixou há pouco”, explica Camilo Gutierrez, chefe do laboratório de pesquisa da ESET América Latina. “Para detectar e eliminar a ameaça com todos os seus componentes, recomendamos o uso de uma solução de segurança móvel”, conclui.

Para verificar se um dispositivo está infectado, a ESET recomenda prestar atenção nos seguintes indicadores:

• Presença de um aplicativo chamado “Google Update”

• Um gerenciador de dispositivo ativo chamado “Atualização do sistema”

• Aparecer repetidas vezes na tela o alerta “Google Service”

Se algum desses indicadores for detectado, é provável que o dispositivo tenha sido infectado com esta variação do BankBot. Para limpar manualmente um dispositivo, primeiro é preciso desativar os direitos de administrador na “Atualização do sistema”, então, desinstalar o “Google Update” e o aplicativo trojan relacionado, neste caso o Jewel Star Classic.

Além de usar uma solução de segurança confiável, a ESET recomenda levar em conta outros aspectos para evitar ser vítima de malwares em celulares:

• Quando possível, dê prioridade às lojas de aplicativos oficiais e não à alternativas. O Google Play emprega mecanismos de segurança avançados, o que nem sempre é o caso em outras lojas.

• Antes de fazer o download de um aplicativo, é importante verificar sua popularidade, observando o número de instalações, classificações e comentários de usuários anteriores.

• Depois de executar qualquer coisa que tenha sido instalada em um dispositivo móvel, deve-se prestar atenção às permissões e direitos que ele solicita. Se um aplicativo requer permissões intrusivas, especialmente relacionadas à acessibilidade, é preciso ler cuidadosamente e permitir somente aquelas que se tem certeza de estarem conectadas a um aplicativo confiável.

Para obter mais informações, acesse o portal de notícias da ESET, WeLiveSecurity: https://www.welivesecurity.com/br/2017/09/25/trojan-bankbot-google-play/

Visite-nos em: @eset_brasil     /company/eset-brasil

Sobre a ESET

Desde 1987, a ESET® desenvolve soluções de segurança que ajudam mais de 100 milhões de usuários a usar tecnologia com segurança. Seu portfólio de soluções oferece às empresas e aos consumidores em todo o mundo um equilíbrio perfeito de desempenho e proteção proativa. A empresa possui uma rede global de vendas que abrange 180 países e tem escritórios em Bratislava, São Diego, Cingapura, Buenos Aires, Cidade do México e São Paulo. Para mais informações, visite http://www.eset.com.br/ ou nos siga no LinkedIn, Facebook e Twitter.

Desde 2004, a ESET opera na América Latina, onde conta com uma equipe de profissionais capacitados a responder às demandas do mercado local de forma rápida e eficiente, a partir de um Laboratório de Pesquisa focado na investigação e descoberta proativa de várias ameaças virtuais.

Copyright © 1992–2017 ESET. Todos os direitos reservados. ESET e NOD32 são marcas registradas da ESET. Outros nomes são marca registrada de suas respectivas empresas.