Trojans bancários: a maior ciberameaça mobile

Ainda estamos em meio ao boom dos dispositivos móveis. Nos últimos dois anos, mais de 50% dos celulares utilizados por consumidores eram smartphones. Isso leva a um grande problema: ciberameaças

Ainda estamos em meio ao boom dos dispositivos móveis. Nos últimos dois anos, mais de 50% dos celulares utilizados por consumidores eram smartphones. Isso leva a um grande problema: ciberameaças por celular. Enquanto a maioria dos usuários de computadores já tem um certo nível de consciência a respeito de segurança, grande parte dos usuários de smartphones ainda consideram seus dispositivos apenas um telefone, não muito diferente da máquina de lavar ou do ferro de passar – então por que se incomodar?

Os smartphones de hoje são tão complexos quanto os computadores, o que os torna bem mais poderosos do que aquele PC que você usava há dez anos. Mesmo que o disco rígido não possua muita coisa de valor, além de alguns trabalhos dos seus anos de faculdade ou fotos das suas últimas férias, o seu celular pode possuir informações valiosas tanto para você quanto para os cibercriminosos.

Se você tem um smartphone, é provável que também tenha um cartão bancário. Bancos comumente utilizam seu número de celular para validarem contas-corrente (mandando um código único por SMS), então faz sentido que os cibercriminosos utilizem esse caminho para fazer pagamentos ou transferências entre contas.

Dito isso, não é surpresa que os banking trojans sejam o tipo de vírus para celular mais comuns -constituem 95% dos malware móveis. Mais de 98% dos ataques deste tipo ocorrerem em dispositivos Android, o que também não é surpresa. Essa plataforma é a mais comum no mundo (cerca de 80% do mercado) e a única das plataformas populares que permite instalação de software por fontes desconhecidas.

Mesmo que trojans sejam menos perigosos que vírus, pois necessitam de ações do usuário para infiltrarem no sistema, existem técnicas de engenharia social eficientes que atraem usuários, como uma atualização importante ou um bônus no seu jogo favorito.

Adicionalmente, vários exploits conseguem executar malware automaticamente, uma vez que o usuário abra acidentalmente o arquivo infectado.

Existem três tipos mais empregados de baking trojans:
• Hiding the Text: Malware em celulares que escondem SMSs de bancos e os enviam para criminosos que transferem o dinheiro para suas contas.

• Minor Cash Movements: malware que transferem quantias modestas de dinheiro para contas fraudulentas a partir de uma conta infectada.

• App Mirroring: malware imitam aplicativos bancários e a partir do momento que recebem as credenciais de login, as utilizam no aplicativo original para realizar as duas ações acima.

A maioria dos banking trojans (mais de 50%) se direcionavam a Rússia e países europeus, bem como índia e Vietnã. Ultimamente, uma nova geração de malware direcionados a celulares tem aparecido. Esse grupo é capaz de baixar arquivos de atualização de diferentes bancos estrangeiros dos EUA, Alemanha e Reino Unido.

O ancestral mais antigo conhecido dos Trojans de mobile banking é o Zeus, a.k.a Zitmo (Zeus-in-the-mobile), que apareceu por volta de 2010 (seu predecessor do PC, também chamado Zeus, foi criado em 2006). Este malware conseguiu invadir 3,5 milhões de dispositivos só nos Estados Unidos, criando a maior botnet da história.

Zeus é um sequestrador clássico, que salva credenciais de login inseridas pelo usuário na interface do aplicativo do banco e as envia para o criminoso. (O Zitmo foi inclusive capaz de passar por autenticações de dois fatores).

Além disso, graças ao Zeus, os autores do esquema conseguiram hackear mais de 74 000 senhas de FTP de vários sites (incluindo do Bank of América), alterando seus códigos de modo que fosse possível extrair informações de cartão de crédito depois de cada tentativa de pagamento. O Zeus foi bem ativo até o fim de 2013, quando começou a ser posto de lado pelo mais atualizado XtremeRAT, porém a essência dos trojans ainda está viva entre os engenheiros de malware.

Em 2011, emergiu o SpyEye, que se tornou um dos mais bem-sucedidos banking trojans na história. Seu criador, Alexander Panin, vendeu o código no mercado negro por preços que variam entre 1000 a 85000 dólares. De acordo com o FBI, o número de compradores que modificaram o trojan para roubar dinheiro de diversos bancos chegou a 150. Um dos criminosos conseguiu roubar 3,2 milhões de dólares em seis meses.

Em 2012, outra espécie foi encontrada, o Carberp. Este componente conseguiu se infiltrar em vários aplicativos Android dos maiores bancos russos, Sberbank e Alfa Bank, visando roubar os clientes da Rússia, Bielorrússia, Cazaquistão, Moldávia e Ucrânia. Curiosamente, os culpados conseguiram publicar aplicativos na Google Play.

O grupo de cibercriminosos composto por 28 membros foi preso durante uma operação conjunta entra Rússia e Ucrânia. No entato, o código do Carberp foi publicado em 2013, de modo que qualquer um poderia produzir seu próprio malware a partir dele. Enquanto, o Carberp foi criado essencialmente para países que eram participantes da União soviética, seus clones foram encontrados pelo mundo inteiro, incluindo os Estados Unidos, países Europeus e da América Latina.

Em 2013, o Hasperbot começou a fazer vítimas. Originado na Turquia, se espalhou globalmente por Portugal e República Tcheca. Além de causar os problemas usuais, este trojan cria um servidor VNC escondido no smartphone, o que garante ao hacker acesso a gestão remota do dispositivo.

Mesmo depois que o trojan for removido, o acesso remoto permite que o hacker se infiltre em todas as mensagens como se o dispositivo estivesse nas mãos dele, consequentemente outra oportunidade para instalar um malware.

Em 2014 o código fonte do Android.iBanking foi revelado. É um kit completo de monitoramento de SMS e gestão de dispositivos remotos, que chega a custar 5000 dólares. A publicação do código resultou em uma onda de invasões. O kit inclui um código malicioso que substitui o aplicativo do banco (o aplicativo original continua funcional, porém modificado com a inclusão de várias novas funções) e um programa para Windows que permite controlar todos os smartphones afetados.

É interessante perceber que, apesar de uma versão gratuita estar disponível na plataforma de malware, a versão premium é muito mais popular. Usuários premium são contemplados com atualizações regulares e suporte ao cliente. Até o fim desse ano, mais trojans foram descobertos na Google Play, criados especialmente para o Brasil e feitos sem qualquer habilidade especial de programação – baseados unicamente no kit universal.

No que diz respeito a ataques a bancos, o Brasil constitui um cenário especial, que pode ser explicado pela popularidade do pagamento de boletos pelo celular. Esse método permite que um dos usuários transfira dinheiro para outro por meio de “cheques virtuais” contendo uma via única de pagamento, identificada por um código de barras que, depois de ser escaneado pela câmera do celular, transfere o dinheiro.

Trojans especiais estão selecionando usuários de boleto, copiando códigos recentemente gerados e modificando-os para que o dinheiro seja enviado para o criminoso durante esse meio tempo. Além disso, trojans monitoram a inserção de informações pessoais nos boletos em sites e aplicativos de bancos (durante o preenchimento de informações de conta-corrente) e clandestinamente, troca as informações legítimas por falsas.

Não é preciso dizer que a história de trojans em transações bancárias ainda está sendo escrita: aplicativos novos são criados todos os dias e técnicas cada vez mais eficientes são empregadas pelos hackers, atraindo usuários para armadilhas. Então, convenhamos, não se arrisque, proteja realmente seu smartphone.

Dicas
Inscreva-se para receber nossos destaques em seu e-mail