Um novo vírus voltado para celulares Android passou a usar uma tática avançada para roubar dados bancários: o programa malicioso remove os aplicativos legítimos das instituições financeiras e instala versões modificadas no lugar. Batizado de “Hirudo”, o malware atua para desativar os mecanismos internos de proteção dos bancos e garantir acesso total ao aparelho das vítimas.
O alerta foi emitido pela empresa de segurança cibernética ThreatFabric, em relatório publicado nesta quarta-feira (14). O ataque começa quando o usuário baixa aplicativos aparentemente inofensivos de compras, vídeos ou entretenimento, descobriram os pesquisadores. Escondido nesses programas, o vírus exibe uma falsa notificação de atualização para induzir a vítima a conceder permissões do sistema. Com o acesso liberado, ele baixa a versão alterada do app bancário, abre a tela de desinstalação da plataforma verdadeira e usa os privilégios obtidos para concluir a substituição sem levantar suspeitas.
As versões modificadas mantêm visual e funcionamento quase idênticos aos originais, mas carregam um código interno capaz de enganar o sistema operacional. Esse mecanismo substitui os certificados digitais de validação, oculta serviços suspeitos em execução e remove a proteção que impede capturas de tela. Assim, os criminosos conseguem monitorar o celular em tempo real, registrar senhas, capturar códigos PIN de pagamento, ler mensagens SMS e até transmitir imagens das câmeras do aparelho.
Alvo principal e alcance global
Apesar de o código do vírus conter registros com alvos em países como China, Índia, México, Marrocos e Tailândia, a estrutura de substituição direta de aplicativos foi direcionada para instituições da Indonésia. No entanto, os especialistas da ThreatFabric ressaltam que o modelo de ataque pode ser adaptado rapidamente para atingir organizações financeiras em qualquer outra região.
De acordo com o relatório técnico, a estratégia representa um avanço perigoso nas táticas de criminosos virtuais ao focar em falhas no próprio processo dos aplicativos:
A análise da infraestrutura utilizada pelos cibercriminosos revelou um painel de controle desprotegido que armazenava milhares de credenciais roubadas, dados de dispositivos e perfis financeiros de vítimas. Os estudiosos descobriram que a distribuição do malware ocorria por meio de redes de anúncios e servidores de entrega de conteúdo que mantinham links ativos até o momento da publicação das descobertas.
Recomendação para usuários e bancos
O relatório destaca que as defesas locais do aparelho deixam de ser confiáveis quando o aplicativo bancário é adulterado por completo. “Com o mecanismo rodando dentro do próprio processo do aplicativo bancário, as defesas do app são voltadas contra ele mesmo”, alertaram os analistas.
Para mitigar os riscos, eles recomendam que as instituições financeiras realizem as checagens de segurança e integridade diretamente dos servidores. Em contrapartida, para os usuários de dispositivos Android, a orientação principal é manter o sistema operacional atualizado, utilizar a verificação contínua do Google Play Protect e jamais baixar ou instalar arquivos de aplicativos vindos de fontes não oficiais.
Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.