O malware MoneyMonger de chantagem se esconde nos aplicativos móveis do Flutter

Uma campanha de malware para Android chamada MoneyMonger foi encontrada escondida em aplicativos de empréstimo de dinheiro desenvolvidos usando o Flutter. É emblemático de uma onda crescente de chantageadores cibercriminosos visando os consumidores - e seus empregadores também devem sentir os efeitos.

De acordo com a pesquisa da equipe Zimperium zLabs, o malware usa várias camadas de engenharia social para tirar vantagem de suas vítimas e permite que agentes mal-intencionados roubem informações privadas de dispositivos pessoais e usem essas informações para chantagear indivíduos.

O malware MoneyMonger, distribuído por meio de lojas de aplicativos de terceiros e carregado nos dispositivos Android das vítimas, foi criado desde o início para ser malicioso, visando aqueles que precisam de dinheiro rápido, de acordo com os pesquisadores da Zimperium. Ele usa várias camadas de engenharia social para tirar proveito de suas vítimas, começando com um esquema de empréstimo predatório e prometendo dinheiro rápido para aqueles que seguem algumas instruções simples.

No processo de configuração do aplicativo, a vítima é informada de que são necessárias permissões no endpoint móvel para garantir que ela esteja em situação regular para receber um empréstimo. Essas permissões são então usadas para coletar e exfiltrar dados, incluindo da lista de contatos, dados de localização GPS, uma lista de aplicativos instalados, gravações de som, registros de chamadas, listas de SMS e listas de arquivos e armazenamento. Ele também ganha acesso à câmera.

Essas informações roubadas são usadas para chantagear e ameaçar as vítimas a pagar taxas de juros excessivamente altas. Se a vítima não pagar no prazo e, em alguns casos, mesmo após o pagamento do empréstimo, os criminosos ameaçam revelar informações, ligar para pessoas da lista de contatos e até mesmo enviar fotos do dispositivo.

Uma das coisas novas e interessantes sobre esse malware é como ele usa o kit de desenvolvimento de software Flutter para ocultar códigos maliciosos.

Embora o kit de software de interface do usuário (UI) de código aberto Flutter tenha mudado o jogo para os desenvolvedores de aplicativos, agentes mal-intencionados também aproveitaram seus recursos e estrutura, implantando aplicativos com riscos críticos de segurança e privacidade para vítimas inocentes.

Nesse caso, o MoneyMonger aproveita a estrutura do Flutter para ofuscar recursos maliciosos e complicar a detecção de atividades maliciosas por meio de análise estática, explicaram os pesquisadores da Zimperium em um postagem no blog de 15 de dezembro.

O risco para as empresas decorre da ampla gama de dados coletados

Richard Melick, diretor de inteligência de ameaças móveis da Zimperium, disse ao Dark Reading que os consumidores que usam aplicativos de empréstimo de dinheiro correm maior risco, mas pela natureza dessa ameaça e como os invasores roubam informações confidenciais para chantagem, eles também estão colocando seus empregadores ou qualquer organização eles trabalham em risco, também.

“É muito fácil para os invasores por trás do MoneyMonger roubar informações de e-mail corporativo, arquivos baixados, e-mails pessoais, números de telefone ou outros aplicativos corporativos no telefone, usando-os para extorquir suas vítimas”, diz ele.

Melick diz que o MoneyMonger é um risco para indivíduos e empresas porque coleta uma ampla gama de dados do dispositivo da vítima, incluindo material corporativo potencialmente sensível e informações proprietárias.

“Qualquer dispositivo conectado aos dados da empresa representa um risco para a empresa se um funcionário for vítima do esquema de empréstimo predatório MoneyMonger nesse dispositivo”, diz ele. “As vítimas desse empréstimo predatório podem ser compelidas a roubar para pagar a chantagem ou não relatar o roubo de dados críticos da empresa pelos agentes mal-intencionados por trás da campanha.”

Melick diz que os dispositivos móveis pessoais representam uma superfície de ataque significativa e não endereçada para as empresas. Ele ressalta que o malware contra dispositivos móveis continua a ficar mais avançado e, sem a telemetria de ameaças e a defesa crítica para enfrentar esse crescente subconjunto de atividades maliciosas, as empresas e seus funcionários correm riscos.

“Não importa se eles são de propriedade corporativa ou fazem parte de uma estratégia BYOD, a necessidade de segurança é fundamental para ficar à frente do MoneyMonger e de outras ameaças avançadas”, diz ele. “A educação é apenas parte da chave aqui e a tecnologia pode preencher as lacunas, minimizando o risco e a superfície de ataque apresentada pelo MoneyMonger e outras ameaças.”

Também é importante lembrar de evitar baixar aplicativos de lojas de aplicativos não oficiais; lojas oficiais, como o Google Play, têm proteções para os usuários, enfatizou um porta-voz do Google ao Dark Reading.

“Nenhum dos aplicativos maliciosos identificados no relatório está no Google Play”, disse ele. “O Google Play Protect verifica dispositivos Android com Google Play Services em busca de aplicativos potencialmente prejudiciais de outras fontes. O Google Play Protect avisará os usuários que tentarem instalar ou iniciar aplicativos que foram identificados como maliciosos.”

Ressurgimento de Trojans bancários

O malware MoneyMonger segue o ressurgimento do Trojan bancário Android SOVA, que agora possui recursos atualizados e uma versão adicional em desenvolvimento que contém um módulo de ransomware.

Outros Trojans bancários ressurgiram com recursos atualizados para ajudar a passar pela segurança, incluindo o Emotet, que ressurgiu no início deste verão em uma forma mais avançada depois de ter sido derrubado por uma força-tarefa internacional conjunta em janeiro de 2021.

Nokia 2021 “Relatório de inteligência de ameaças” alertou que as ameaças de malware bancário estão aumentando acentuadamente, pois os cibercriminosos visam a crescente popularidade do banco móvel em smartphones, com planos destinados a roubar credenciais bancárias pessoais e informações de cartão de crédito.

Ameaças de chantagem devem continuar em 2023

Melick aponta que a chantagem não é novidade para atores mal-intencionados, como foi visto em ataques de ransomware e violações de dados em escala global.

“O uso de chantagem em um nível tão pessoal, visando vítimas individuais, é uma abordagem um tanto nova que exige investimento de pessoal e tempo”, diz ele. “Mas está valendo a pena e com base no número de avaliações e reclamações sobre MoneyMonger e outros golpes predatórios de empréstimos semelhantes a este, isso só vai continuar.”

Ele prevê que as condições financeiras e de mercado deixarão algumas pessoas desesperadas por maneiras de pagar contas ou obter dinheiro extra.

“Assim como vimos golpes de empréstimos predatórios surgirem na última recessão”, diz ele, “é quase garantido que veremos esse modelo de roubo e chantagem continuar em 2023”.