A ESET alerta sobre um perigoso trojan bancário para o Android, identificado no início deste ano, e que encontrou uma maneira de se infiltrar novamente no Google Play. O BankBot conseguiu entrar na loja oficial do Google Play tentando se passar pelo jogo Jewels Star Classic. Os atacantes usaram o nome da saga popular Jewels Star, desenvolvida pela ITREEGAMER, sem que a empresa esteja relacionada a esta campanha maliciosa. Quando a ESET notificou a equipe de segurança do Google sobre o aplicativo malicioso, 5 mil usuários já o tinham instalado em seus computadores.
Ao baixar esta versão do Jewels Star Classic, o que se obtém é um jogo Android que funciona, mas que possui algumas características maliciosas, por exemplo, um malware bancário entre seus recursos, e um serviço malicioso que é executado após uma janela de tempo pré-configurada.
O serviço é ativado 20 minutos após a primeira execução do jogo. O dispositivo infectado exibe um alerta incitando o usuário a habilitar algo chamado "Serviço Google". Esse alerta aparece independentemente da atividade que o usuário estiver realizando, sem conexão aparente com o jogo.
Ao clicar em OK, o usuário permite ao trojan executar qualquer ação que ele precise para continuar sua atividade maliciosa. Uma vez que as permissões são aceitas, o usuário tem o acesso negado a sua tela, devido a uma suposta "atualização" do Google Service.
Enquanto o usuário espera que a atualização termine, o malware autoriza a instalação de aplicativos de fontes desconhecidas, instala o BankBot a partir de seus recursos e o executa, ativa o Gerenciador de Dispositivos para o BankBot, define BankBot como o aplicativo SMS padrão e obtém permissão para substituir outros apps.
Uma vez que essas tarefas são executadas, o malware tenta roubar dados do cartão de crédito da vítima. Quando o usuário executa o aplicativo do Google Play, o BankBot entra em ação e sobrepõe o app legítimo com uma forma falsa, que solicita os detalhes do cartão de crédito do usuário.
Nesta etapa, o usuário pode cair na armadilha, inserir seus dados e ser enganado. O BankBot também se estabelece como o aplicativo de mensagens padrão, portanto, pode interceptar todas as mensagens SMS que passam pelo dispositivo infectado. Isso permite que os criminosos possam burlar a dupla autenticação baseada em SMS para o acesso à conta bancária da vítima, o que seria potencialmente o último obstáculo para concretizar o ato criminoso.
Para verificar se um dispositivo está infectado, a ESET recomenda prestar atenção nos seguintes indicadores:
*Presença de um aplicativo chamado "Google Update"
*Um gerenciador de dispositivo ativo chamado "Atualização do sistema"
*Aparecer repetidas vezes na tela o alerta "Google Service"
Se algum desses indicadores for detectado, é provável que o dispositivo tenha sido infectado com esta variação do BankBot. Para limpar manualmente um dispositivo, primeiro é preciso desativar os direitos de administrador na "Atualização do sistema", então, desinstalar o "Google Update" e o aplicativo trojan relacionado, neste caso o Jewel Star Classic.
