Mais de uma dúzia de aplicativos Android na Google Play Store capturados com malware bancário
Uma campanha maliciosa aproveitou aplicativos dropper para Android aparentemente inócuos na Google Play Store para comprometer os dispositivos dos usuários com malware bancário .
Esses 17 aplicativos dropper, chamados coletivamente de DawDropper pela Trend Micro, mascarados como aplicativos de produtividade e utilitários, como scanners de documentos, leitores de código QR, serviços VPN e gravadores de chamadas, entre outros. Todos esses aplicativos em questão foram removidos do mercado de aplicativos.
“O DawDropper usa o Firebase Realtime Database, um serviço de nuvem de terceiros, para evitar a detecção e obter dinamicamente um endereço de download de carga útil”, informou os pesquisadores . “Ele também hospeda cargas maliciosas no GitHub.”
Droppers são aplicativos projetados para passar pelas verificações de segurança da Play Store do Google, após o que são usados para baixar malwares mais potentes e intrusivos em um dispositivo, neste caso Octo (Coper), Hydra , Ermac e TeaBot .
As cadeias de ataque envolveram o malware DawDropper estabelecendo conexões com um Firebase Realtime Database para receber o URL do GitHub necessário para baixar o arquivo APK malicioso.
A lista de aplicativos maliciosos disponíveis anteriormente na loja de aplicativos está abaixo :
- Gravador de chamadas APK (com.caduta.aisevsk)
- VPN Galo (com.vpntool.androidweb)
- Super Cleaner- hyper & smart (com.j2ca.callrecorder)
- Scanner de documentos – PDF Creator (com.codeword.docscann)
- Universal Saver Pro (com.virtualapps.universalsaver)
- Editor de fotos Eagle (com.techmediapro.photoediting)
- Gravador de chamadas pro+ (com.chestudio.callrecorder)
- Extra Cleaner (com.casualplay.leadbro)
- Crypto Utils (com.utilsmycrypto.mainer)
- FixCleaner (com.cleaner.fixgate)
- Just In: Video Motion (com.olivia.openpuremind)
- com.myunique.sequencestore
- com.flowmysequto.yamer
- com.qaz.universalsaver
- Lucky Cleaner (com.luckyg.cleaner)
- Simpli Cleaner (com.scando.qukscanner)
- Leitor de QR Unicc (com.qrdscannerratedx)
Incluído entre os droppers está um aplicativo chamado “Unicc QR Scanner”, que foi anteriormente sinalizado pela Zscaler este mês como distribuindo o trojan bancário Coper, uma variante do malware móvel Exobot.
O Octo também é conhecido por desabilitar o Google Play Protect e usar a computação de rede virtual (VNC) para gravar a tela de um dispositivo da vítima, incluindo informações confidenciais, como credenciais bancárias, endereços de e-mail e senhas e PINs, todos os quais são posteriormente exfiltrados para um servidor remoto .
Os droppers bancários, por sua vez evoluíram desde o início do ano, afastando-se dos endereços de download de carga útil codificados para usar um intermediário para ocultar o endereço que hospeda o malware.
“Os cibercriminosos estão constantemente encontrando maneiras de evitar a detecção e infectar o maior número possível de dispositivos”, informaram os pesquisadores.
“Além disso, como há uma alta demanda por novas maneiras de distribuir malware móvel, vários agentes mal-intencionados afirmam que seus droppers podem ajudar outros cibercriminosos a disseminar seu malware na Google Play Store, resultando em um modelo dropper-as-a-service ( DaaS ).”
Este artigo é uma tradução de: https://thehackernews.com/2022/07/over-dozen-android-apps-on-google-play.html (Autor: )
