ameaças
Após uma análise mais profunda da versão móvel do Guildma anunciado no final de setembro, descobrimos características únicas da ciberameaça e decidiu tratá-la como uma nova família: o Ghimob. Entre as principais descobertas está a confirmação que o trojan está preparado para atuar fora do Brasil e os alvos são bancos, fintechs, corretoras (de valores) e corretoras de criptomoedas, localizadas na América Latina, Europa e África. No Brasil, há campanhas massivas.
Para realizar a infecção do celular, os criminosos enviam campanhas massivas de phishing dizendo que a pessoa tem uma dívida, com um link para que a vítima tenha detalhes. Assim que o RAT (tipo de trojan que usa acesso remoto) é instalado, envia uma mensagem ao criminoso avisando que a infecção foi bem-sucedida com o modelo do telefone, se há tela de bloqueio de segurança e uma lista dos aplicativos instalados que o malware pode atacar.
Foco em apps financeiros
O que chama atenção é a extensa lista de aplicações que o Ghimob pode espionar. São mais de 110 apps de instituições bancárias no Brasil. Além disso, o trojan ainda tem como alvo aplicativos de criptomoeda de diferentes países (13 apps), sistemas internacionais de pagamento (9 apps) e mobile banking de instituições que operam na Alemanha (5 aplicativos), Portugal (3 aplicativos), Peru (2 aplicativos), Paraguai (2 aplicativos), Angola e Moçambique (1 aplicativo de cada país).
Quanto ao funcionamento, os criminosos usam o Ghimob para acessar remotamente o dispositivo infectado e realizar transações usando o smartphone da vítima – isto evita a detecção da fraude por tecnologias de fingerprint e antifraude (detecção por comportamento) que as instituições financeiras utilizam. Outra característica interessante é que o trojan consegue destravar o celular, mesmo que use um padrão (desenho) de bloqueio, ou senha, pois o trojan consegue gravá-la e reproduzi-lo.
Para realizar as transações fraudulentas, os criminosos colocam uma tela em branco, tela preta ou um site com tela cheia para esconder sua atividade. “A tela preta ainda é usada para forçar a vítima a usar a biometria para ‘destravar’ a tela e, assim, roubar esta forma de autenticação”, ressalta Fabio Assolini, especialista de segurança da Kaspersky no Brasil.
“Um trojan com alcance global para realizar fraudes no mobile banking era um desejo de longa data dos cibercriminosos latino-americanos. Já tivemos o Basbanke e o BRata, mas estes atuam mais focados no mercado brasileiro. Por isso, o Ghimob é o primeiro trojan para mobile banking brasileiro pronto para ser internacionalizado e acreditamos que isso não vá demorar, uma vez que ele compartilha a mesma infraestrutura do Guildma, trojan para Windows que já atua fora do país”, comenta. “Recomendamos que as instituições financeiras acompanhem essas ameaças de perto para aprimorar seus processos de autenticação e tecnologias antifraudes com dados de inteligência de ameaças. Compreender sua ação é a forma mais eficaz de mitigar os riscos desta nova família de RAT móvel”, destaca o especialista da Kaspersky.
Nossas soluções já detectam e bloqueiam esta ameaça como Trojan-Banker.AndroidOS.Ghimob.
Dicas