A aplicação bancária que fez o pagamento não era a que está no telemóvel
O Android tem uma funcionalidade chamada perfil de trabalho: uma zona isolada do telemóvel onde uma empresa pode pôr as suas próprias aplicações, separadas das suas fotografias e mensagens. É uma ideia genuinamente boa. A 9 de setembro a Group-IB publicou uma investigação que mostra que os criminosos lhe encontraram um uso que ninguém previu.
O trojan chama-se Gigabud, existe desde 2022 e chega pelo caminho do costume. Uma aplicação falsa a imitar uma companhia aérea nacional, as finanças ou um portal do Estado, instalada a partir de uma ligação recebida numa mensagem ou numa rede social em vez de uma loja oficial. Ao instalar-se pede acesso à Acessibilidade, autorização para desenhar por cima de outras aplicações e uma isenção da poupança de bateria. Concedidos esses direitos, os operadores podem comandar o telemóvel à distância, listar o que está instalado, sobrepor ecrãs de início de sessão falsos à aplicação bancária verdadeira e registar em silêncio o código de bloqueio, tudo por trás de um ecrã preto para que o dono não veja nada.
A novidade é uma segunda aplicação chamada Vwork, uma versão reduzida da ferramenta de código aberto Shelter à qual retiraram as verificações de segurança, apresentada num único ecrã de configuração escrito em chinês. O Vwork cria um perfil de trabalho e a aplicação do banco é clonada lá para dentro. A análise de segurança de um perfil quase não vê o outro, por isso o alerta levantado no espaço pessoal nunca se liga à transação feita a partir do espaço de trabalho, e o pagamento chega ao banco como se viesse de um aparelho sem qualquer historial. Na Indonésia, entre fevereiro e julho deste ano, a Group-IB contou cerca de 1.469 telemóveis comprometidos e perdas de aproximadamente 960.000 dólares. As amostras feitas para esta combinação apontam a onze países, entre eles Brasil, Colômbia, Egito, México, Tailândia e Turquia.
Se quiser verificar o seu telemóvel, abra Definições, depois Palavras-passe e contas, e procure um separador Trabalho que nunca criou. De resto: aplicações só de lojas oficiais, e nunca conceda acesso à Acessibilidade a algo que não seja uma ferramenta de acessibilidade. É o mesmo reflexo que protege um PC, onde o risco costuma ser um instalador apanhado num resultado de pesquisa. As atualizações de aplicações do Tendvane passam pelo winget, a ferramenta de pacotes da própria Microsoft, por isso o que se instala vem da fonte real do editor e não da página de transferência mais bem colocada nesse dia.