Hamster Kombat: usuários do jogo são alvo de ciberataques

Nos últimos meses, o jogo Hamster Kombat do Telegram conquistou o mundo dos fãs de jogos de criptomoeda. Embora a jogabilidade seja bastante simples - tocar repetidamente na tela do smartphone ou tablet - os jogadores estão procurando algo mais: a chance de ganhar muito dinheiro quando os criadores do Hamster Kombat revelarem a prometida nova criptomoeda vinculada ao jogo.

Devido ao seu sucesso, o jogo já atraiu inúmeras imitações que replicam seu nome e ícone, com jogabilidade semelhante. Felizmente, todos os primeiros exemplos que encontramos não eram maliciosos, mas tinham como objetivo ganhar dinheiro com anúncios no aplicativo.

Infelizmente, a equipe de pesquisa da ESET descobriu que cibercriminosos estão capitalizando a popularidade do Hamster Kombat. Ao tentar obter jogos e softwares relacionados a partir de fontes não oficiais, os usuários estão se expondo a vários riscos. Encontramos diversas ameaças que exploram a popularidade do Hamster Kombat, como um malware para Android controlado remotamente, propagado através de um canal não oficial do Hamster Kombat no Telegram, lojas de aplicativos falsos que oferecem anúncios indesejados e repositórios no GitHub que distribuem o Lumma Stealer para dispositivos Windows, alegando oferecer ferramentas de automação para o jogo.

Pontos principais deste post:

• O sucesso do Hamster Kombat atraiu cibercriminosos que tentam se aproveitar do interesse no jogo para obter ganhos financeiros.
• A equipe de pesquisa da ESET descobriu um spyware para Android chamado Ratel, que se passa pelo Hamster Kombat e é distribuído através de um canal não oficial no Telegram.
• Usuários de Android estão sendo alvo de falsas lojas de aplicativos que afirmam oferecer o jogo, mas que na verdade exibem anúncios indesejados.
• Usuários de Windows podem encontrar repositórios no GitHub que oferecem bots de farm e clickers automáticos, mas que na verdade contêm o Lumma Stealer, um cryptor malicioso.

O que é o Hamster Kombat?

O Hamster Kombat é um jogo de clicker in-app do Telegram no qual os jogadores ganham moeda fictícia ao concluir tarefas simples, com incentivos para fazer login no jogo diariamente. Como em outros jogos clicker para celular, a jogabilidade básica do Hamster Kombat consiste em tocar na tela repetidamente para marcar mais pontos no jogo. A Figura 1 ilustra a interface do jogo.

Lançado em março de 2024, o Hamster Kombat parece estar ganhando popularidade rapidamente. Em junho de 2024, os desenvolvedores afirmaram que o jogo já tinha conseguido atingir 150 milhões de usuários ativos. Considerando que isso colocaria o Hamster Kombat - um jogo voltado exclusivamente para o subconjunto de jogadores de celular que são apreciadores de criptomoedas e disponível apenas via Telegram - entre os 20 jogos para celular mais jogados de todos os tempos, a alegação deve ser tomada com cautela. No entanto, o jogo é indiscutivelmente popular: a conta oficial do Hamster Kombat no X tem mais de 10 milhões de seguidores, e o canal de anúncios do Hamster Kombat tem mais de 50 milhões de assinantes no momento da publicação deste post.

Não é de surpreender que o principal motivo do crescente interesse no Hamster Kombat seja o desejo dos jogadores de ganhar dinheiro com o jogo: o roteiro de desenvolvimento do Hamster Kombat inclui planos para lançar uma nova criptomoeda vinculada ao jogo. O token é então distribuído aos jogadores com base no cumprimento de determinados critérios, uma técnica também conhecida como airdrop.

A equipe por trás do Hamster Kombat parece estar tentando replicar o sucesso de outro jogo baseado no Telegram, chamado Notcoin. Em maio de 2024, Notcoin introduziu o token NOT na plataforma de blockchain do Telegram, The Open Network (TON), liberando-o para os jogadores com base em suas pontuações no jogo. O lançamento do token NOT foi muito bem-sucedido, com alguns afirmando que foi o maior lançamento de tokens de cripto-jogo de 2024 até o momento.

O lançamento do token Hamster Kombat também deve usar a rede TON. No entanto, ao contrário da Notcoin, o número de tokens recebidos não dependerá da pontuação total, mas de outros fatores, como o lucro por hora.

Análise da ameaça

Como esperado, o sucesso do Hamster Kombat também atraiu cibercriminosos, que já começaram a implantar malware direcionado aos usuários do jogo. A equipe de pesquisa da ESET descobriu ameaças para usuários de Android e Windows. Os usuários de Android são alvo de spyware e lojas de aplicativos falsos cheias de anúncios indesejados, enquanto os usuários de Windows podem encontrar repositórios no GitHub com cryptostealers Lumma Stealer.

Como qualquer projeto que promete lucro com pouco esforço, o jogo em si também está no radar de especialistas em cibersegurança e funcionários de governos, que alertam sobre os possíveis riscos financeiros envolvidos no jogo. Até o momento, a ESET não viu nenhuma atividade maliciosa do aplicativo original.

Ameaças para Android

Identificamos e analisamos dois tipos de ameaças direcionadas aos usuários do Android: um aplicativo malicioso que contém o spyware Ratel para Android e sites falsos que se apresentam como interfaces de lojas de aplicativos e afirmam ter o Hamster Kombat disponível para download.

O spyware Ratel

A equipe de pesquisa da ESET encontrou um canal do Telegram (https://t[.]me/hamster_easy) que distribui um spyware para Android, chamado Ratel, disfarçado de Hamster Kombat; veja a Figura 2.

Esse malware é capaz de roubar notificações e enviar mensagens SMS. Os operadores do malware usam essa funcionalidade para pagar por assinaturas e serviços com o dinheiro da vítima sem que ela perceba.

Embora o aplicativo malicioso use o nome Hamster Kombat para atrair possíveis vítimas, ele não contém nenhuma funcionalidade de jogo e nem mesmo uma interface de usuário. Conforme mostrado na Figura 3, na inicialização, o aplicativo solicita permissão para acessar as notificações e pede para ser definido como o aplicativo padrão de SMS. Quando essas permissões são concedidas, o malware obtém acesso a todas as mensagens SMS e consegue interceptar todas as notificações exibidas.

O Ratel então inicia a comunicação com seu servidor C&C (http://77.91.124[.]14:260) e, em resposta, recebe um número de telefone: veja a Figura 4. Em seguida, ele envia uma mensagem SMS com o texto Привет ! Набери мне: logID (tradução: Olá! Ligue para mim) para esse número de telefone, que provavelmente pertence aos operadores do malware.

Em seguida, os cibercriminosos conseguem controlar o dispositivo comprometido via SMS: a mensagem do operador pode conter um texto que é enviado para um número específico ou até mesmo instruir o dispositivo a ligar para esse número. O malware também é capaz de verificar o saldo atual da conta bancária da vítima no Sberbank Russia enviando uma mensagem com o texto баланс (tradução: saldo) para o número 900. Isso provavelmente é feito para decidir se as operadoras devem buscar outros cenários de ataque para acessar o dinheiro da vítima.

O Ratel também se aproveita das permissões de acesso a notificações para ocultar notificações de mais de 200 aplicativos com base em uma lista criptografada (veja o Apêndice para obter a lista completa). A lista inclui aplicativos como Telegram, WhatsApp e vários apps de mensagens SMS. Se o dispositivo afetado receber uma notificação de um aplicativo da lista, a vítima não poderá vê-la. Ocultar é a única ação que o malware realiza com essas notificações; elas não são encaminhadas para o servidor C&C. Provavelmente, o objetivo de interceptar as notificações é impedir que a vítima descubra as mensagens de confirmação enviadas pelos serviços de assinatura.

Conforme mostrado na Figura 5, caso haja uma notificação de um aplicativo não listado, o Ratel permite que o usuário a veja, enquanto a encaminha para o servidor de C&C. Acreditamos que isso seja feito para que os operadores possam verificar se um novo aplicativo precisa ser adicionado à lista.

Sites falsos

Além do aplicativo com o spyware Ratel, também descobrimos lojas de aplicativos falsas que dizem oferecer o Hamster Kombat para download. No entanto, ao clicar nos botões Instalar ou Abrir, o usuário é levado a anúncios indesejados. Exemplos de sites falsos são mostrados na Figura 6.

Ameaças para Windows

Embora o Hamster Kombat seja um jogo para celular, também encontramos malware que se aproveita do nome do jogo para se propagar no Windows. Os cibercriminosos tentam atrair os usuários do Windows com ferramentas auxiliares que visam facilitar aos jogadores a maximização dos lucros no jogo. Nossa pesquisa revelou repositórios do GitHub (veja a Figura 7) que ofereciam bots de fazenda do Hamster Kombat e autoclickers, que são ferramentas que automatizam cliques em um jogo. Esses repositórios acabaram escondendo cryptostealers do infame malware Lumma Stealer.

O LummaStealer é um infostealer oferecido como malware-as-a-service, disponível para compra na dark web e no Telegram. Observado pela primeira vez em 2022, esse malware é comumente distribuído por meio de software pirata e spam, e tem como alvo carteiras de criptomoedas, credenciais de usuário, extensões de navegador de autenticação de dois fatores e outras informações confidenciais. Observe que os recursos do Lumma Stealer não são abordados pela matriz ATT&CK do MITRE neste post, pois o foco está nos cryptostealers que fornecem esse infostealer, e não no infostealer em si.

Os repositórios do GitHub que encontramos tinham o malware disponível diretamente nos arquivos de versão ou continham links para baixá-lo de serviços externos de compartilhamento de arquivos. Identificamos três versões diferentes do Lumma Stealer cryptors escondidas nos repositórios: aplicativos C++, aplicativos Go e aplicativos Python. Dos três, apenas os aplicativos Python têm uma interface gráfica de usuário (GUI).

Aplicativos C++

Para aplicativos C++, o Lumma Stealer criptografa a si mesmo usando a criptografia RC4 e se incorpora ao executável baixado pela vítima. Uma vez executado, o aplicativo injeta o Lumma Stealer no processo recém-criado C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe.

Aplicativos Go

Para os aplicativos Go, o Lumma Stealer também é incorporado ao executável, mas, dessa vez, ele é criptografado usando o AES-GCM. O criptor usa código copiado e ofuscado de go_libpeconv, uma biblioteca Go para carregar arquivos PE, para executar o despejo de processo no primeiro arquivo encontrado com a extensão .exe no diretório C:Windows.

Aplicativos Python

Os aplicativos Python foram empacotados com o PyInstaller ou compilados com o Nuitka. Quando a vítima executa o arquivo baixado do repositório do GitHub, uma janela de instalação falsa é exibida com um botão Concordo, conforme mostrado na Figura 8. Ao clicar no botão, o programa se conecta a um servidor FTP e faz o download de um arquivo ZIP protegido por senha (senha: crypto123) que contém a criptografia com o Lumma Stealer incorporado. Encontramos cryptostealers C++ e Go no servidor FTP, o que nos leva a concluir que esses aplicativos são provavelmente versões diferentes da mesma família de malware.

Depois que a janela é fechada, o cryptor envia para o servidor C&C os registros de data e hora de quando a vítima clicou no botão Accept (Aceitar) e quando o malware foi executado. Esses dados são enviados apenas uma vez e não há mais nenhuma comunicação do C&C com o criptor. Conforme mostrado na Figura 9, encontramos um relatório de comentário para telegramm[sic] no código-fonte Python do malware, o que significa que os dados provavelmente são enviados do C&C para a conta ou canal do Telegram dos operadores em algum momento.

Conclusão

A popularidade do Hamster Kombat faz com que o jogo seja cada vez mais interessante para os cibercriminosos. Embora muitos aplicativos que se passam pelo Hamster Kombat pareçam estar livres de malware, nossa equipe descobriu um trojan controlado remotamente distribuído via Telegram, disfarçado como o jogo. Este malware é capaz de enviar mensagens SMS, fazer chamadas e ocultar suas ações, escondendo notificações que possam sugerir que o dispositivo está comprometido. Além do trojan para Android, encontramos lojas de aplicativos falsas que alegam oferecer o Hamster Kombat para download; no entanto, os links geralmente levam a anúncios indesejados. Por fim, na plataforma Windows, descobrimos repositórios no GitHub que atraem jogadores com a promessa de bots de farm e autoclickers do Hamster Kombat, mas que, na verdade, instalam criptomoedas contendo o Lumma Stealer.

Agradecemos ao Anton Cherepanov por suas contribuições.

IoCs

Você pode encontrar uma lista completa de indicadores de comprometimento (IoCs) e amostras em nosso repositório GitHub.

Arquivos

Rede

Certificados de assinatura de código

Técnicas do MITRE ATT&CK

Esta tabela foi criada usando a versão 15 das técnicas ATT&CK móveis do MITRE.

Esta tabela foi criada usando a versão 15 das técnicas de ATT&CK móvel do MITRE.

Apêndice

Abaixo está a lista de aplicativos para os quais o malware Ratel oculta notificações: