A aplicação de televisão gratuita que o vê a escrever o PIN do banco

O TVTap é uma aplicação de IPTV gratuita que nunca esteve na Google Play. As pessoas vão procurá-la noutro lado, e é precisamente isso que faz dela um bom isco.

A Group-IB publicou esta semana a sua análise do RemControl, um trojan bancário para Android alugado como serviço e espalhado através de páginas falsas da Google Play que anunciam essa aplicação. Os anúncios trazem identificadores de seguimento do Meta Pixel, o que aponta para tráfego comprado no sistema publicitário da Meta. O programa traz mais de 30 sobreposições de phishing dirigidas a bancos em Itália, França, Espanha, Polónia, Portugal, Canadá e nos países do Golfo. O domínio do servidor de comando foi registado a 12 de Maio e as primeiras amostras chegaram ao VirusTotal a 19 de Julho.

O que faz depois de instalado é a parte sombria. Pede as permissões de acessibilidade do Android e usa-as para pintar um ecrã de início de sessão falso por cima da sua aplicação bancária verdadeira e ficar com o PIN, a data de validade do cartão e os códigos de uso único à medida que os escreve. Transmite o seu ecrã ao operador em directo, regista as teclas em todas as aplicações e anota as coordenadas do padrão de desbloqueio em telemóveis Samsung, Xiaomi, Huawei, OPPO e OnePlus. Um serviço VPN local impede o Google Play Protect de comunicar. E quando vai procurar o botão de desinstalar, bloqueia o ecrã, em mais de trinta idiomas.

A Group-IB identifica o operador como UNKK, a partir de uma cadeia de afiliado presente em cada amostra, e suspeita de uma ligação ao grupo por detrás do trojan Medusa. A lição que está por baixo é mais antiga do que qualquer telemóvel Android: uma aplicação de televisão não tem motivo nenhum para pedir permissões de acessibilidade, e uma página da Play Store a que chegou por um anúncio não é a Play Store. A análise de rede do Tendvane mostra-lhe pelo menos todos os aparelhos ligados ao Wi-Fi de casa, telemóveis incluídos.