FireScam Android Malware Poses como Telegram Premium para Roubar Dados e Dispositivos de Controle
Um malware de roubo de informações do Android chamado FireScam foi encontrado disfarçado como uma versão premium do aplicativo de mensagens Telegram para roubar dados e manter o controle remoto persistente sobre dispositivos comprometidos.
“Disfarmado como um falso aplicativo ‘Telegram Premium’, ele é distribuído através de um site de phishing hospedado no GitHub.io que representa a RuStore –, uma popular loja de aplicativos na Federação Russa”, Cyfirma disse, descrevendo-o como uma “ameaça sofisticada e multifacetada.”
“O malware emprega um processo de infecção em vários estágios, começando com um APK dropper, e executa extensas atividades de vigilância uma vez instalado.”
O site de phishing em questão, rustore-apk.github[.]io, imita a RuStore, uma loja de aplicativos lançada pela gigante russa de tecnologia VK no país, e foi projetada para fornecer um arquivo APK dropper (“GetAppsRu.apk”).
Uma vez instalado, o conta-gotas atua como um veículo de entrega para a carga útil principal, que é responsável por extrair dados confidenciais, incluindo notificações, mensagens e outros dados do aplicativo, para um endpoint do Firebase Realtime Database.
O aplicativo dropper solicita várias permissões, incluindo a capacidade de gravar em armazenamento externo e instalar, atualizar ou excluir aplicativos arbitrários em dispositivos Android infectados que executam o Android 8 e posterior.
“A permissão ENFORCE_UPDATE_OWNERSHIP restringe as atualizações do aplicativo ao proprietário designado do aplicativo. O instalador inicial de um aplicativo pode declarar-se o ‘proprietário da atualização’, controlando assim as atualizações do aplicativo”, observou Cyfirma.
“Este mecanismo garante que as tentativas de atualização por outros instaladores exijam a aprovação do usuário antes de prosseguir. Ao se designar como o proprietário da atualização, um aplicativo malicioso pode impedir atualizações legítimas de outras fontes, mantendo assim sua persistência no dispositivo.”
FireScam emprega várias técnicas de ofuscação e anti-análise para evitar a detecção. Ele também controla as notificações recebidas, as alterações de estado da tela, as transações de comércio eletrônico, o conteúdo da área de transferência e a atividade do usuário para coletar informações de interesse. Outra função notável é a sua capacidade de baixar e processar dados de imagem de um URL especificado.
O aplicativo nocivo Telegram Premium, quando lançado, busca ainda mais a permissão dos usuários para acessar listas de contatos, registros de chamadas e mensagens SMS, após o que uma página de login para o site legítimo Telegram é exibida através de um WebView para roubar as credenciais. O processo de coleta de dados é iniciado independentemente de a vítima fazer login ou não.
Por fim, ele registra um serviço para receber notificações do Firebase Cloud Messaging (FCM), permitindo que ele receba comandos remotos e mantenha o acesso secreto –, um sinal dos amplos recursos de monitoramento do malware. O malware também estabelece simultaneamente uma conexão WebSocket com seu servidor de comando e controle (C2) para atividades de exfiltração e acompanhamento de dados.
Cyfirma disse que o domínio de phishing também hospedou outro artefato malicioso chamado CDEK, que provavelmente é uma referência a um serviço de rastreamento de entrega e pacote baseado na Rússia. No entanto, a empresa de segurança cibernética disse que não conseguiu obter o artefato no momento da análise.
Atualmente, não está claro quem são os operadores, ou como os usuários são direcionados a esses links, e se envolve técnicas de phishing ou malvertising por SMS.
“Ao imitar plataformas legítimas, como a loja de aplicativos RuStore, esses sites maliciosos exploram a confiança do usuário para enganar os indivíduos a baixar e instalar aplicativos falsos”, disse Cyfirma.
“O FireScam realiza suas atividades maliciosas, incluindo exfiltração e vigilância de dados, demonstrando ainda mais a eficácia dos métodos de distribuição baseados em phishing na infecção de dispositivos e na evasão da detecção.”