Android
Recentemente, descobrimos que uma versão de um popular mod do WhatsApp, o FMWhatsApp, inclui um cavalo de Troia integrado. O Trojan, chamado Triada, baixa outros malwares para os dispositivos dos usuários. Veja como aconteceu e por que usar versões modificadas do WhatsApp é perigoso.
Por que usar mods do WhatsApp?
Nem todos os usuários estão satisfeitos com o aplicativo oficial do WhatsApp. Alguns podem sentir necessidade de autodestruir mensagens ou, inversamente, desejam ter a capacidade de ver as mensagens excluídas por outro usuário. Outros estão atrás de temas dinâmicos e outros ainda querem ocultar certos chats da lista geral ou traduzir mensagens automaticamente.
Os usuários querem esses recursos logo, não quando os desenvolvedores do WhatsApp finalmente começarem a implementá-los. Por isso, alguns recorrem aos clientes WhatsApp modificados disponíveis online, bastante numerosos e nada difíceis de encontrar.
Os fãs de mods não são desencorajados nem mesmo pela repressão ocasional do WhatsApp a tais modificações ou pela ameaça de banimento de contas.
Os criadores dos mods do WhatsApp costumam inserir anúncios neles — o que é compreensível — junto com os recursos que os usuários procuram. Os problemas surgem, no entanto, com o uso de módulos de anúncios de terceiros, por meio dos quais códigos maliciosos podem se infiltrar no radar dos desenvolvedores.
Triada e muito mais no mod FMWhatsApp
Foi justamente o que aconteceu com FMWhatsApp, um mod popular. Na versão 16.80.0, os desenvolvedores usam um módulo de anúncio de terceiros que inclui um cavalo de Troia. Nossa solução de antivírus para dispositivos móveis detecta esse malware como Trojan.AndroidOS.Triada.ef.
Vimos uma situação semelhante na primavera de 2021 com a app store não oficial APKPure, cujos desenvolvedores também usaram um módulo de anúncio de uma fonte não verificada, infectando assim sua criação e, consequentemente, os usuários com o cavalo de Troia Triada (embora uma versão ligeiramente diferente).
Como no caso da infectada APKPure, na versão perigosa do mod FMWhatsApp o Trojan Triada executa uma função intermediária. Primeiro, coleta dados sobre o dispositivo do usuário e, em seguida, dependendo das informações, baixa outro cavalo de Troia.
Os “extras” do Triada vêm em uma variedade de sabores — a versão infectada do FMWhatsApp baixa vários tipos de malware para os dispositivos:
• Trojan-Downloader.AndroidOS.Agent.ic, cavalo de Troia que baixa e executa outros módulos maliciosos;
• Trojan-Downloader.AndroidOS.Gapac.e, que baixa e executa outros módulos maliciosos e também pode exibir anúncios em tela inteira em momentos inesperados;
• Trojan-Downloader.AndroidOS.Helper.a, que baixa e executa o módulo de instalação do cavalo de Tróia xHelper e executa anúncios invisíveis em segundo plano;
• Trojan.AndroidOS.MobOk.i, um Trojan que se inscreve para assinaturas pagas;
• Trojan.AndroidOS.Subscriber.l, outro Trojan que se inscreve para assinaturas pagas;
• Trojan.AndroidOS.Whatreg.b, o mais complexo da lista, faz login na conta do WhatsApp no telefone da vítima, interceptando o texto de confirmação de login. O dispositivo pode então se tornar um local para vários tipos de atividades ilegais, como distribuição de spam ou comércio ilegal.
Nossa postagem no Securelist investiga mais o cavalo de Troia Triada do mod FMWhatsapp.
Como se defender contra esses ataques
Ter cuidado e usar seu dispositivo com segurança é a chave para manter o malware e outras ameaças móveis longe de seu telefone. De um modo geral, siga estas dicas para evitar problemas:
• Evite instalar aplicativos de fontes não oficiais e use as configurações do seu dispositivo para negar permissão para instalá-los. (Se você precisar instalar um aplicativo que não seja de uma loja oficial, ative temporariamente essa permissão e, em seguida, desative-a novamente);
• Use apenas aplicativos de mensagens oficiais e baixe-os apenas de lojas de aplicativos oficiais — eles podem não ter alguns recursos, mas não inundarão seu telefone com vírus;
• Verifique quais permissões você concedeu aos aplicativos instalados — alguns podem representar uma ameaça real;
• Instale um aplicativo de antivírus para dispositivos móveis confiável em seu telefone e preste atenção aos avisos.
[KISA Generic banner]
Dicas