Foi identificado um novo tipo de malware para Android, que rouba credenciais bancárias online e pode manter os arquivos do dispositivo como reféns em troca de resgate, causando dois danos graves em apenas um ataque.
De acordo com a unidade de pesquisas da Palo Alto Networks, a Unit 42, o malware Xbot ainda não é generalizado e mira aparentemente apenas dispositivos na Austrália e na Rússia. Mas os especialistas acreditam que quem quer que esteja por trás do Xbot, pode tentar expandir sua base de alvos.
"Aparentemente o autor está investindo muito esforço e tempo para tornar este Trojan mais complexo e difícil de detectar, dessa forma constata-se que sua habilidade de infectar usuários e permanecer oculto só tende a crescer", afirma a Palo Alto.
O Xbot utiliza uma técnica chamada atividade de sequestro para realizar ataques que visam roubar dados pessoais e de bancos online. Ele permite que o malware rode uma ação diferente quando alguém tenta executar um aplicativo, e o usuário não percebe que está utilizando uma função ou programa errado.
A atividade de sequestro tem vantagem nos recursos de versões Android anteriores a 5.0. O Google vem desenvolvendo defesas específicas, para que sejam afetados apenas os dispositivos antigos ou aqueles que não foram atualizados.
Em um tipo de ataque, o Xbot monitora o aplicativo executado pelo usuário. Se é um aplicativo específico bancário, o Xbot intervém e exibe uma interface que sobrepõe o aplicativo real. A falsa interface é baixada de um servidor de comando e controle e exibida através do WebView, e os aplicativos legítimos não são alterados.
Segundo a Palo Alto Networks, até o momento foram identificadas sete interfaces falsas. Os agentes maliciosos estão imitando aplicativos de alguns dos bancos mais populares da Austrália. As interfaces são muito semelhantes às interfaces de login dos apps oficiais destes bancos. Se a vítima preenche o formulário, serão enviados ao servidor de comando e controle o número da conta bancária, a senha e tokens de segurança. O malware pode roubar também dados pessoais do telefone, como contatos e mensagens, e enviá-los para os hackers.
O Xbot ainda pode trazer uma interface pelo WebView dizendo que o dispositivo foi infectado com CryptoLocker, um conhecido programa de ramsomware. O ransomware criptografa arquivos e, em seguida, pede que seja pago um valor pela chave de decodificação. Neste caso, os hackers pedem que o resgate de US$ 100 seja pago através de uma falsa página do PayPal.
