Este malware não imita a sua aplicação do banco. Substitui-a.

A maior parte do malware bancário em Android desenha um ecrã falso por cima da aplicação verdadeira e espera que escreva lá a sua palavra-passe. O Hirudo, descrito pela empresa neerlandesa ThreatFabric a 14 de outubro, dispensa por completo essa abordagem. Repara em que aplicação do banco já tem, mostra-lhe algo que parece um aviso de atualização, leva-o a desinstalar a verdadeira e instala no mesmo sítio a sua própria cópia modificada.

Isso muda tudo aquilo com que a aplicação se podia defender. O código malicioso corre agora dentro do processo da própria aplicação do banco, com um motor de hooking que falsifica o certificado de assinatura, devolve uma lista vazia quando a aplicação pergunta que serviços de acessibilidade estão ativos, retira a marca que bloqueia capturas de ecrã e reencaminha a verificação Play Integrity da Google para um servidor controlado pelos atacantes. A aplicação verifica se foi adulterada e recebe uma resposta tranquilizadora, porque está a perguntar à própria adulteração.

A partir daí vem a lista sombria do costume: credenciais, PIN de pagamento, código de desbloqueio do aparelho, SMS, controlo remoto do ecrã em direto e acesso às duas câmaras. Por agora são oito bancos indonésios no alvo, com indícios a apontar para a China, a Índia, o México, Marrocos e a Tailândia. Chegar ao telemóvel continua a exigir que alguém instale alguma coisa, e o caminho passa por um anúncio numa plataforma da Meta, uma página feita para se parecer com a Google Play e uma aplicação de compras ou de séries curtas que afinal é só um carregador.

Essa última parte viaja bem. Um anúncio, uma página parecida com uma loja oficial e depois um convite para instalar uma atualização que a loja nunca ofereceu: no Windows é a mesma jogada, e continua a resultar. A verificação de segurança do Tendvane assinala programas que chegaram ao seu PC por essa via, embora remover malware continue a ser trabalho do seu antivírus.