Trojans para Android imitam apps para chamar táxi

Alex Drozhzhin
Em 28/08/2017 no site Kaspersky Lab

Você está com pressa, tentando chegar ao trabalho, uma reunião de negócios, um encontro. Então decide usar seu app de táxi favorito como sempre, mas dessa vez, algo parece diferente: suas informações de cartão de crédito estão sendo solicitadas. Suspeito? Talvez não – aplicativos esquecem informações às vezes, e tudo que você tem que fazer é adicioná-las e esperar o taxista.
Contudo, depois de um tempo, percebe que dinheiro tem sumindo da sua conta. O que aconteceu? Você pode ter sido premiado com um mobile Trojan. Esse tipo de malware foi usado recentemente para roubar dados bancário por meio da sobreposição de aplicativos para solicitar táxi.

O Faketoken Trojan já existe há bastante tempo, e foi atualizado ao longo dos anos. Nossos especialistas batizaram a atual versão de “Faketoken.q” e no momento ele sabe diversos truques.

A partir do momento que entra em um smartphone (julgando pelo ícone do malware, o Faketoken entra no smartphone por meio de mensagens de SMS para baixar alguma foto) e instalar os módulos necessários, o Trojan esconde seu atalho e inicia suas atividades em segundo plano.
Primeiro, o Trojan está interessado nas ligações do usuário. Logo que uma é iniciada, a gravação começa. Quando a chamada termina, o Faketoken encaminha o arquivo de áudio para o servidor do criminoso. Ele também verifica quais apps o dono do smartphone usa.

Quando o Faketoken detecta o lançamento de um aplicativo cuja interface consegue imitar, ele a sobrepõe imediatamente. Para isso, utiliza as funções padrões do Android que permitem a exibição de telas sobre os outros apps. Diversos apps legítimos, como messengers e gestores de abas usam essa função.

A janela sobreposta utiliza a mesma cor da interface do aplicativo de verdade. Nessa janela, o Trojan faz o usuário inserir seu número de cartão de crédito, incluindo o código de verificação.

Na verdade, o Faketoken.q segue uma variedade gigantesca de apps que possui uma coisa em comum: nesses, uma requisição de inserção de dados de pagamento não parecem coisa de outro mundo. Entre os aplicativos atacados estão diversos bancários: Android Pay, o Google Play Store, reserva de voos e hotéis e pagamento de tickets de estacionamento – bem como para reservar táxis.

No momento do roubo do dinheiro do usuário, o Faketoken ainda tem mais subterfúgio: intercepta as mensagens SMS, escondendo-as do usuário. O vírus as encaminha para o servidor do criminoso, das quais senhas de confirmação de transação de uso único são extraídas.

A julgar pelo pequeno número de ataques registrados e os artefatos de UI, diríamos que os pesquisadores de nosso laboratório colocaram as mãos em uma versão de teste do Trojan, não a final.

Não podemos subestimar os criadores assíduos do Faketoken. Muito provavelmente irão melhorar o Trojan, e uma onda de ataques pode resultar da versão “comercial” do vírus em algum momento.

No momento, o Trojan tem por foco a Rússia, mas não seria a primeira vez que cibercriminosos roubam ideias uns dos outros, por isso, não há de demorar para que outros adotem o mesmo truque em outros países. Diversos habitantes de cidades utilizam aplicativos para chamar táxis com frequência, de modo que o truque representa uma excelente oportunidade aos criadores de malware.

Abaixo temos diversas dicas para você se proteger do Faketoken e Trojans similares que podem roubar informações de cartão de crédito e interceptar mensagens de SMS com senhas de uso único para a confirmação de pagamentos.

• Para isso, é imprescindível acessar as configurações do Android e proíba a instalação de aplicativos de fontes desconhecidas. Para bloquear, vá em Configurar -> Segurança e desmarque Fontes Desconhecidas.

O maravilhoso mundo dos robôs no Tinder

Por Alex Drozhzhin

Em 24/05/2017 no site kaspersky.com.br

Qual você diria que é a taxa de visitas de links recebidos de mulheres atraentes por parte de homens em aplicativos de namoro? Advinhe – 1%? 5%? 15%? De acordo com pesquisas conduzidas por Inbar Raz, da Perimeter X, essa porcentagem chega a 70%! Dois em cada três homens de fato clicam nesses links, o que faz disso a melhor taxa de conversão no mundo. Mas afinal o que poderia dar errado?

Inbar Raz começou sua pesquisa construindo o perfil perfeito no Tinder. Esse assunto foi cuidadosamente pesquisado – com ferramentas matemáticas e tudo. Existem diversas orientações a respeito disso, até uma entrevista com o CEO do Tinder, Sean Rid na qual descreve que tipo de fotos pode garantir mais matchs:

• Uma foto tirada por um fotógrafo profissional
• com animais
• fazendo esporte ou algum hobby
• algo oficial ou no trabalho
• uma imagem engraçada ou criativa.

Amor à primeira vista

Há um ano, Raz viajou para Copenhagen, na Dinamarca, para uma conferência de segurança. Ao chegar, ligou o Tinder e em uma hora já tinha conseguido combinações com oito mulheres lindas. Uma delas enviou uma mensagem em dinamarquês com um link no fim. Muitas outros matchs foram acontecendo, acompanhados por mensagens. Elas eram praticamente idênticas, porém com única diferença: os últimos quatro caracteres no link.

Naturalmente, Raz suspeitou que essas mulheres fossem na verdade bots e começou a pesquisar suas crushs suspeitas. Primeiro, ele notou que entre as 57 combinações estavam 29 instituições educacionais, 26 locais de trabalho e 11 profissões – a maioria alegava ser modelo. Além disso, apenas um dos perfis falsos estudou na Dinamarca, a maioria no Reino Unido, principalmente em Londres

Depois disso, Raz verificou as informações de perfil das crushs. No fim, tratavam-se de combinações de identidades roubadas: continham links para contas no Facebook e Instagram de nomes diferentes dos disponibilizados no Tinder.

Conhecendo melhor os bots

Alguns meses se passaram e Inbar Raz foi a outra conferência em Denver, no Colorado. Advinha? Descolou mais um monte de matchs, novamente a maioria falsas. Essa segunda leva de bots era mais avançada, conversava antes de enviar o link malicioso. Raz fez perguntas complexas para testar a interatividade dos perfis. No fim, esse não era o ponto forte deles, já que independente do que o pesquisador fizesse as respostas eram as mesmas já programadas.  E claro todas terminavam com um convite para conversar no Skype ou com um link.

Dessa vez, Raz decidiu verificar os links que os bots estavam enviando. Ele levava a um site que redirecionava a outro que por sua vez direcionava a um terceiro. O destino final apresentada o título “Isso NÃO É um site de namoro” e carregava o seguinte aviso: “Você verá fotos de nudez. Por favor, seja discreto”. Seja lá o que isso quer dizer nessas circunstâncias.

Alguns meses depois, Raz estava em outra conferência, o Chaos Communication Congress em Hamburgo, na Alemanha. Dessa vez, uma das suas combinações falsas possuía no perfil o link para um site intitulado “Melhor que Tinder” que possuía uma quantidade enorme de imagens de nudez logo na página inicial.

Caça ao mestre dos bonecos

Um mês mais tarde, Raz visitou a próxima conferência, em Austin, no Texas. Mais uma vez, ativou o Tinder, e claro, mais matchs. Depois de sua última investigação, o pesquisador não tinha expectativas, pois esperava serem bots novamente. Ao conversar com mais um desses, nem sequer se importou de fingir estar conversando com uma pessoa. No fim, a conversa seguiu o programado, e Raz recebeu um convite para continuar no Skype com juicyyy768.

O nome da conta o fez lembrar de um bot que o convidou para o Skype em Denver – o nome seguia uma mesma fórmula: uma palavra com a última letra repetida diversas vezes e três dígitos no fim. Raz criou uma conta descartável no Skype e conversou com o bot. Depois de outro diálogo programado, foi pedido a Raz que criasse uma conta em um site de compartilhamento de fotos. Não é preciso dizer, que o site pedia o número de cartão de crédito. Bem, já dá para ver onde isso iria parar.

O próximo passo era rastrear a infraestrutura do império dos bots. Raz verificou o endereço de IP de um dos sites cujo link foi recebido nas conversas. Diversos domínios escusos estava associados com o IP. Os nomes dos sites tinham relação com sexo, Tinder ou qualquer outra coisa nessas linhas. Raz partiu para a investigação de informações desses domínios, mas a maioria foi registrado anonimamente.

Todavia, depois de passear pelos 61 domínios, conseguiu descobrir um pouco mais. Alguns deles foram registrados sob nomes diferentes, e diversos até tinham informações de registro como nome, telefone, endereço (em Marseille, França), e e-mail. Todos esses no fim eram falsos, de qualquer forma serviu de pista para que Raz conectasse alguns pontos.

Por meio de um site chamado Scamadviser.com, que verifica a segurança dos sites de compras, Raz foi capaz de linkar diversas campanhas de bots de cidades localizadas em diferentes continentes ao mesmo endereço de e-mail, *****752@gmail.com, obtido das informações de registro de domínio. O dono utiliza diversos nomes falsos, telefones e endereços diferentes. Provas consistentes eram o endereço em Marseille, bem como a fórmula dos três dígitos para nomenclatura. Infelizmente, o pesquisador não conseguiu encontrar a identidade verdadeira do criminoso.

Depois disso, mudou de plataforma, OkCupid, para procurar por bots lá também. E lá estavam. Não eram tão refinados quanto os do Tinder, e os sites para os quais redirecionavam as pessoas não pareciam tão profissionais. Como pesquisas posteriores mostraram, a pessoa por trás desse império de bots não era nem perto de ser tão boa no que diz respeito à segurança operacional quanto *****752. Ao passar por diversos sites, Raz descobriu um e-mail e depois o nome do golpista, chegando a sua conta real no Facebook com uma foto bem bacana dele segurando um bolo de dinheiro.

Não tema o Tinder

Ok, existem bots no Tinder. Mas e daí? Bem, eles não estão lá para simplesmente fazer você perder tempo e alimentar suas esperanças. Estão em busca de seus dados de cartão de crédito, e como mencionamos no começo desse post, a taxa de acesso dos links enviados é absurdamente alta. Isso significa que muitos homens não só entram nesses sites, mas também inserem seus dados bancários – em busca de suas belas crushs. Pobres coitados.

Nada disso significa que você deve parar de usar o Tinder, OkCupid ou qualquer outro aplicativo de namoro. Significa simplesmente que você tem de estar preparado e ser cuidadoso.

1. Não clique em qualquer link estranho que receber. Não há uma única razão legítima para que um “match” envie um endereço na web. Dito isso, dê uma olhada nos detalhes do perfil. Se sua nova combinação tem algum direcionamento para perfis com nomes diferentes, provavelmente tem algo errado.
2. Fique ligado – e desconfiado. Há bots em praticamente tudo na internet. Pelo menos até o momento, eles não são tão sofisticados. Simplesmente não perca a cabeça pela beleza de uma de suas combinações. Tente mudar de assunto, e veja o rumo da conversa, por exemplo.
3. Não namore com bots. Por favor. Faça nosso quiz sobre phishing e aprenda a respeito de alguns truques dos cibercriminosos.