Um spyware que se disfarçava de aplicativo legítimo para Android foi detectado pela empresa de segurança Trend Micro. O software malicioso chamado de MobSTSPY tinha o objetivo de coletar informações dos usuários. A princípio, ele foi encontrado em um jogo chamado Flappy Birr Dog, uma espécie de cópia do game Flappy Bird com um cão voador. De acordo com a companhia, alguns dos apps contavam com mais de 100 mil downloads na loja de aplicativos do Google e afetaram pessoas em 196 países. O Brasil aparece como o sexto mais afetado (3.26% dos usuários) — o primeiro fora do continente asiático, atrás de Índia (31.77%), Rússia (7.56%), Paquistão (4.81%), Bangladesh (4.71%) e Indonésia (3.42%).
A ferramenta maliciosa também foi descoberta em outros apps, como FlashLight, HZPermis Pro Arabe, Win7imulator, Win7Launcher e Flappy Bird, o que pode ter aumentado o número de usuários atingidos. Segundo a companhia de segurança, cinco de seis desses aplicativos estavam suspensos no Google Play desde fevereiro de 2018 e, agora, todos foram removidos definitivamente da loja oficial.
Ainda de acordo com a Trend Micro, o malware seria capaz de acessar informações como localização do usuário, conversas por SMS, registros de chamadas e itens da área de transferência. "Ele usa o Firebase Cloud Messaging para enviar informações para o servidor. Assim que o aplicativo malicioso for iniciado, o malware primeiro verificará a disponibilidade da rede do dispositivo. Em seguida, lê e analisa um arquivo de configuração XML de seu servidor C & C", explica o laudo publicado pela companhia.
O spyware também seria capaz de captar dados por meio de golpes de phishing, ao exibir pop-ups do Facebook e do Google para as vítimas inserirem suas credenciais de login. Caso o fizessem, o programa malicioso informava que o login não havia sido bem-sucedido. Isso seria o suficiente para que as informações de usuário fossem roubadas.
Como entram na Google Play
O diretor de segurança estratégica da Trend Micro, Bharat Mistry, afirmou que é possível que os programas tenham sido enviados ao Google Play sem o código malicioso ativo, mas somente com a infraestrutura necessária para o ataque. "Depois que o aplicativo ganha alguma credibilidade e tem uma boa distribuição de usuários, o desenvolvedor do app emitia uma atualização que ativava os recursos maliciosos", explicou.
Mistry ainda disse que o Google é mais rigoroso no processo de admissão de novos apps, mas que, após uma sequência de atualizações que provam que não são maliciosas, esse nível de verificação pode ser menos rígido. Dessa forma, os cibercriminosos poderiam aproveitar a brecha de vigilância do sistema para pôr em práticas as ações.
... Vale lembrar que o Google tem tentado melhorar o processo de aprovação dos aplicativos para evitar esse tipo de problema. A empresa divulga relatórios trimestrais de segurança (https://transparencyreport.google.com/android-security/overview) e de remoção de apps nocivos por meio do Google Play Protect.
