Novas campanhas propagam malware bancário através do Google Play

Neste ano, vimos muitas campanhas de malware diferentes tentando comprometer usuários com aplicativos maliciosos distribuídos através do Google Play, o serviço de distribuição digital de aplicativos para Android.

Embora normalmente esses aplicativos sejam eliminados alguns dias depois de serem relatados para o Google, os apps conseguem infectar milhares de usuários antes desse processo. Todos os aplicativos enviados ao Google Play são analisados automaticamente em um esforço para bloquear aqueles com comportamento malicioso. No entanto, as últimas campanhas que vimos usam técnicas menos óbvias, como um temporizador que atrasa a atividade maliciosa (neste caso, duas horas) para burlar as detecções automáticas do Google.

Reconhecimento

Este post é baseado em pesquisas conjuntas que realizamos com Avast e SfyLabs, que também publicaram suas respectivas análises sobre o assunto.

Em outubro e novembro de 2017, encontramos duas novas campanhas que usavam droppers: a primeira para executar um malware bancário, e a segunda, descrita recentemente aqui no WeLiveSecurity (estamos adicionando alguns novos IoCs no final deste post).

Os droppers das campanhas anteriores foram muito mais sofisticados, pois usavam os Serviços de Acessibilidade do Android para gerar cliques em segundo plano e permitir a instalação de aplicativos de fontes desconhecidas. Este novo dropper não possui essa capacidade e depende de que usuário tenha a opção de download de fontes desconhecidas ativada.

Se não for o caso, o malware BankBot não poderá ser intalado, sem qualquer ameaça para o usuário. No entanto, se a instalação de fontes desconhecidas estiver ativada, o malware será instalado. Este malware parece ser praticamente o mesmo descrito pela Trend Micro em setembro.

Curiosamente, mesmo que o dropper do Tornado FlashLight (com.andrtorn.app) tenha sido removido do Google Play, não é detectado pelo mecanismo Google Play Protect.

O mesmo acontece com o malware que é descartado pelo dropper com.vdn.market.plugin.upd. Isso significa que o aplicativo que funciona como dropper e o malware ainda podem ser instalados a partir de locais de terceiros e executados sem interferências, a menos que o dispositivo esteja executando um software de segurança adequado.

Análise detalhada

Quando o dropper é iniciado pela primeira vez, verificará os aplicativos instalados em uma lista codificada de 160 apps. Só conseguimos identificar 132 deles, uma vez que os nomes dos pacotes não estão incluídos no dropper, mas apenas os seus hashes.

A lista de pacotes direcionados permaneceu igual desde a campanha descrita pela Trend Micro. Se um ou mais dos aplicativos listados estiverem instalados quando o aplicativo dropper for fechado, o serviço será iniciado com a funcionalidade do dropper.

O dropper executará a mesma verificação na inicialização do dispositivo e, se for bem-sucedida, também iniciará o serviço. O serviço solicitará permissões de administrador do usuário e, depois de obtê-las, continuará a rotina do download.

O APK do BankBot, que é o mesmo para todas as amostras do dropper, que é baixado de hxxp://138.201.166.31/kjsdf.tmp. O download só é ativado duas horas depois que os direitos de administrador do dispositivo são concedidos ao dropper.

Uma vez que o download seja concluído, o dropper tentará instalar o APK, usando o mecanismo padrão do Android para instalar aplicativos de fora do Google Play Store. Além de ser necessário que as fontes desconhecidas já estejam habilitadas, esse método de instalação requer que o usuário pressione um botão para continuar o processo.

Olhando para o nome e o ícone do pacote que será instalado, acreditamos que os cibercriminosos estão tentando fazer o usuário pensar que é uma atualização do Google Play. Uma vez que a instalação esteja concluída, o novo APK solicitará direitos de administrador do dispositivo e o ataque continuará.

Se a instalação de fontes desconhecidas não estiver ativada, o Android mostrará uma mensagem de erro e o processo falhará.

Como evitar ser vítima desta ameaça?

Em primeiro lugar, o ideal é instalar aplicativos que estejam verificados ou pertençam a desenvolvedores conhecidos e sempre escolher a loja oficial Google Play, considerando que a maioria dos programas maliciosos são distribuídos principalmente em lojas alternativas.

Em segundo lugar, a menos que você saiba exatamente o que está fazendo, não habilite a opção "fontes desconhecidas". Se um aplicativo ou alguém em quem você não confia solicita isso, é provável que esteja relacionado com um malware.

No entanto, se você quiser instalar um aplicativo do Google Play, como é possível saber que não se trata de algo malicioso? Para o usuário típico, recomendamos usar uma solução de segurança para detectar o malware que ainda não foi bloqueado pelo Google. Além disso, é possível verificar algumas coisas que podem diminuir o risco de infecção.

Primeiro, certifique-se de que o aplicativo tenha muitos usuários e bons comentários. A maioria dos malwares não permanecem muito tempo na loja e não terá muitos usuários.

Depois de instalar o aplicativo, observe alguns detalhes: a maioria dos programas maliciosos solicitam permissão de administrador do dispositivo (não autorize isso, pois essa permissão pode ser usada para evitar que o malware seja removido).

Outros tipos de malware podem solicitar a permissão do serviço de acessibilidade, o que permite simular a interação do usuário com o dispositivo, para basicamente tomar o controle do equipamento. Outro indicador é o desaparecimento do ícone do aplicativo após a sua primeira reinicialização, já que o malware geralmente faz isso para se esconder.

Se isso acontecer, provavelmente é melhor fazer um backup de seus dados e realizar uma reinicialização de fábrica para garantir que o malware desapareça.

Campanha #1

C2

Todos os aplicativos se comunicam com 138.201.166.31

Campanha #2

C2

Todos os droppers se comunicam com 5.61.32.253. Os diversos nomes de host são:

- 88820.pro

- 88881.pro

- 88884.pro

As amostras de malware se comunicam com 94.130.0.119 e 31.131.21.162.

Aplicativos na lista de alvos

ar.nbad.emobile.android.mobilebank
at.bawag.mbanking
at.spardat.bcrmobile
at.spardat.bcrmobile
at.spardat.netbanking
au.com.bankwest.mobile
au.com.cua.mb
au.com.ingdirect.android
au.com.nab.mobile
au.com.newcastlepermanent
au.com.suncorp.SuncorpBank
ch.raiffeisen.android
com.EurobankEFG
com.adcb.bank
com.adib.mbs
com.advantage.RaiffeisenBank
com.akbank.android.apps.akbank_direkt
com.anz.SingaporeDigitalBanking
com.bankaustria.android.olb
com.bankofqueensland.boq
com.barclays.ke.mobile.android.ui
com.bbva.bbvacontigo
com.bbva.netcash
com.bendigobank.mobile
com.bmo.mobile
com.caisseepargne.android.mobilebanking
com.cajamar.Cajamar
com.cbd.mobile
com.chase.sig.android
com.cibc.android.mobi
com.citibank.mobile.au
com.clairmail.fth
com.cm_prod.bad
com.comarch.mobile
com.comarch.mobile.banking.bnpparibas
com.commbank.netbank
com.csam.icici.bank.imobile
com.csg.cs.dnmb
com.db.mm.deutschebank
com.db.mm.norisbank
com.dib.app
com.finansbank.mobile.cepsube
com.finanteq.finance.ca
com.garanti.cepsubesi
com.getingroup.mobilebanking
com.htsu.hsbcpersonalbanking
com.imb.banking2
com.infonow.bofa
com.ing.diba.mbbr2
com.ing.mobile
com.isis_papyrus.raiffeisen_pay_eyewdg
com.konylabs.capitalone
com.mobileloft.alpha.droid
com.moneybookers.skrillpayments
com.moneybookers.skrillpayments.neteller
com.palatine.android.mobilebanking.prod
com.pozitron.iscep
com.rak
com.rsi
com.sbi.SBIFreedomPlus
com.scb.breezebanking.hk
com.snapwork.hdfc
com.starfinanz.smob.android.sfinanzstatus
com.suntrust.mobilebanking
com.targo_prod.bad
com.tmobtech.halkbank
com.ubs.swidKXJ.android
com.unicredit
com.unionbank.ecommerce.mobile.android
com.usaa.mobile.android.usaa
com.usbank.mobilebanking
com.vakifbank.mobile
com.vipera.ts.starter.FGB
com.vipera.ts.starter.MashreqAE
com.wf.wellsfargomobile
com.ykb.android
com.ziraat.ziraatmobil
cz.airbank.android
cz.csob.smartbanking
cz.sberbankcz
de.comdirect.android
de.commerzbanking.mobil
de.direkt1822.banking
de.dkb.portalapp
de.fiducia.smartphone.android.banking.vr
de.postbank.finanzassistent
de.sdvrz.ihb.mobile.app
enbd.mobilebanking
es.bancosantander.apps
es.cm.android
es.ibercaja.ibercajaapp
es.lacaixa.mobile.android.newwapicon
es.univia.unicajamovil
eu.eleader.mobilebanking.pekao
eu.eleader.mobilebanking.pekao.firm
eu.inmite.prj.kb.mobilbank
eu.unicreditgroup.hvbapptan
fr.banquepopulaire.cyberplus
fr.creditagricole.androidapp
fr.laposte.lapostemobile
fr.lcl.android.customerarea
gr.winbank.mobile
hr.asseco.android.jimba.mUCI.ro
in.co.bankofbaroda.mpassbook
may.maybank.android
mbanking.NBG
mobi.societegenerale.mobile.lappli
mobile.santander.de
net.bnpparibas.mescomptes
net.inverline.bancosabadell.officelocator.android
nz.co.anz.android.mobilebanking
nz.co.asb.asbmobile
nz.co.bnz.droidbanking
nz.co.kiwibank.mobile
nz.co.westpac
org.banksa.bank
org.bom.bank
org.stgeorge.bank
org.westpac.bank
pl.bzwbk.bzwbk24
pl.bzwbk.ibiznes24
pl.ipko.mobile
pl.mbank
pt.bancobpi.mobile.fiabilizacao
pt.cgd.caixadirecta
pt.novobanco.nbapp
ro.btrl.mobile
src.com.idbi
wit.android.bcpBankingApp.activoBank
wit.android.bcpBankingApp.millennium
wit.android.bcpBankingApp.millenniumPL
www.ingdirect.nativeframe