Malware Android disfarçado de ícone do Google Play é pego pela FireEye

Equipe de segurança móvel da empresa interceptou um aplicativo malicioso que usava uma conta do Gmail para roubar informações.

A empresa de segurança FireEye identificou um novo malware que roubava mensagens de SMS, certificados e senhas bancárias de usuários do Android. O aplicativo falso se disfarçava como o aplicativo da loja do Gloogle Play e colocava na área de trabalho do celular um novo ícone parecido com o legítimo. O malware Android, que já foi removido da loja virtual do Google, passava despercebido por 48 dos 51 antivírus testados.

Curiosos sobre o novo ícone, os usuários clicavam no app iniciando a instalação do malware Android. Depois de inicializado, uma mensagem com erros de digitação solicitava permissões de administrador para o “Googl App Stoy”. Terminada a “instalação” um pop-up surgia “Erro do Programa” e depois “Este foi deletado”, mas na verdade o malware Android começava a se descompactar e criar pastas dentro do dispositivo com códigos programados para roubar as informações da vítima.

O cibercriminoso usava um servidor DNS dinâmico com um protocolo SSL do Gmail, fazendo o tráfego de rede gerado pelo malware Android parecer seguro e enganando a maioria dos antivírus. A Máquina Virtual da FireEye foi quem detectou o comportamento incomum.

De 51 antivírus testados, somente três conseguiram detectar o app por causa dos métodos de que o invasor utilizou. Mesmo se detectado pelo usuário, o aplicativo falso não podia ser removido e ficava rodando em plano de fundo. O serviço podia ser interrompido, mas voltava à ativa depois da reiniciar o celular.

Constadas as evidências do ataque, a FireEye trabalhou em conjunto com a equipe do Google para derrubar a conta de e-mail utilizada pelo cracker.

Fonte: pcworld.com.br