Apps do Google Play soltam o malware bancário Anubis e usam táticas de evasão baseadas em movimento

São Paulo, janeiro de 2019 - Os pesquisadores da Trend Micro descobriram dois aplicativos maliciosos na Google Play que disparam malwares bancários de grande alcance. Ambos foram disfarçados como ferramentas úteis, chamadas Currency Converter e BatterySaverMobi. O Google confirmou que eles não estão mais na Play Store.

O aplicativo de bateria registrou mais de 5 mil downloads antes de ser removido e recebeu uma pontuação de 4.5 estrelas de 73 revisores. No entanto, uma análise criteriosa das resenhas publicadas mostra sinais de que elas podem não ser válidas, pois alguns nomes de usuários anônimos foram vistos, e algumas declarações de revisão são ilógicas e faltam detalhes.

Os pesquisadores da Trend Micro analisaram essa campanha e descobriram que os aplicativos soltaram uma carga maliciosa vinculada ao conhecido malware bancário Anubis (detectado pela Trend Micro como ANDROIDOS_ANUBISDROPPER). Eles notaram que o código é surpreendentemente semelhante às amostras conhecidas do malware. Os pesquisadores viram também que ele se conecta a um servidor de comando e controle (C&C) com o domínio aserogeege.space, que também está vinculado ao Anubis.

Além desse servidor, 18 outros domínios maliciosos mapearam para o endereço IP 47.254.26.2 e confirmaram que o Anubis usa o subcaminho desses domínios. Esses domínios alteram os endereços IP com bastante frequência e podem ter modificado seis vezes desde outubro de 2018, mostrando o quão ativa é essa campanha em particular.

Como os aplicativos evitam a detecção

Esses aplicativos não usam apenas técnicas tradicionais de evasão, mas também tentam usar os movimentos do usuário e do dispositivo para ocultar suas atividades.

Conforme um usuário se move, o dispositivo normalmente gera uma certa quantidade de dados do sensor de movimento. O desenvolvedor do malware está assumindo que o ambiente de simulação para verificação de malwares é um emulador sem sensores de movimento e, como tal, não cria esse tipo de dados. Se esse for o caso, o cibercriminoso pode determinar se o aplicativo está sendo executado em um ambiente de simulação, simplesmente procurando dados do sensor.

O aplicativo malicioso monitora as etapas do usuário por meio do sensor de movimento do dispositivo. Se perceber que o usuário e o dispositivo não estão se movendo (se não houver dados do sensor, eles podem, portanto, estar em execução em um ambiente de simulação), o código mal-intencionado não é executado.

Se o código malicioso for executado, o aplicativo tenta enganar os usuários para que baixem e instalem seu APK com uma atualização de sistema falsa.

Uma das maneiras pelas quais os desenvolvedores de aplicativos ocultam o servidor malicioso é codificando-o em solicitações do Telegram e do Twitter. O disparador do malware bancário envia a solicitação após confiar no dispositivo em execução. Ao analisar o conteúdo HTML da resposta, ele obtém o servidor C&C (aserogeege.space).

Em seguida, ele registra-se no servidor C&C e verifica os comandos com uma solicitação HTTP POST. Se o servidor responder ao aplicativo com um comando APK e anexar o URL de download, a carga útil do Anubis é descartada em segundo plano. Ele tenta enganar os usuários para que instalem com a falsa atualização do sistema.

Aqui pode ser acessado o conteúdo direto no blog da Trend Micro.