A nuvem como refúgio do malware campanha polimórfica em Hugging Face rouba credenciais bancárias

Os serviços em nuvem e as plataformas de código aberto pensadas para compartilhar modelos e pesquisas estão sendo reutilizados por criminosos digitais como depósitos de malware, e o último exemplo descobriu a assinatura romena Bitdefender: uma campanha que usa a plataforma Hugging Face para alojar milhares de variantes de um APK projetado para roubar credenciais de pagamento e banca móvel.

O ataque inicia-se com uma app cevada que os usuários instalam após carregar em anúncios alarmistas que indicam que o dispositivo está comprometido. Essa aplicação tramposa – com nome visível em muitas amostras como TrustBastion – é feita passar por uma ferramenta de segurança e obriga o usuário a aceitar uma “atualização” que reproduz visualmente elementos do Google Play para não despertar suspeitas. Em vez de incluir o código malicioso no próprio instalador, o dropper contacta um servidor de controle que devolve um redireccionamento para um repositório hospedado em Hugging Face. Desde lá, o payload final é baixado através da CDN da plataforma.

O truque técnico que os atacantes usam é especialmente eficaz: Em vez de servir um binário estático, o operador aplica polymorfismo a nível de servidor, gerando novas variantes do APK a cada poucos minutos para evitar assinaturas e detecção por análise estática. Bitdefender documentou que, em pouco tempo, o repositório tinha acumulado milhares de commits e que, após ser retirado, a operação reapareceu sob outro nome e com novos ícones, mantendo o mesmo núcleo malicioso. Mais detalhes técnicos e amostras estão descritos pelos pesquisadores no seu relatório original publicado por Bitdefender.

A carga final é um troiano de acesso remoto (RAT) que abusa dos Serviços de Acessibilidade Android para ganhar controle avançado sobre o dispositivo. Mediante essa permissão —apresentado ao usuário como algo necessário para "proteger" o telefone — o malware pode superpor telas, capturar a imagem do conteúdo que se mostra, simular gestos, impedir desinstalações e executar ações que normalmente requerem interação física.

Com essas capacidades, o software malicioso pode injetar interfaces falsas acima de aplicações legítimas: os especialistas observaram janelas de phishing que imitavam passarelas de pagamento e aplicações financeiras populares, bem como formulários projetados para capturar o PIN de desbloqueio do telefone. Todas as informações roubadas são enviadas aos servidores de comando e controle, que também mantêm a app “viva” mostrando conteúdo falso para que a vítima acredite que a ferramenta funciona corretamente.

Diante desse tipo de abuso de plataformas de distribuição, Hugging Face retirou os datasets envolvidos após ser notificado pelos pesquisadores, mas o episódio expõe como serviços legítimos podem se tornar vetores para campanhas sofisticadas quando não se controla o uso mal-intencionado dos recursos. Para entender o problema com mais contexto, você pode consultar a web pública de Hugging Face em huggingface.co e a documentação técnica dos pesquisadores que levaram à remoção.

Que risco isso significa para um usuário normal? Se você instalar apps que não vêm de lojas oficiais e, além disso, você concede permissões poderosas como Serviços de Acessibilidade, o risco sobe drasticamente: o atacante pode ver e capturar suas interações com apps bancárias, suplantar telas de login e obter credenciais ou códigos de acesso. Além disso, a natureza persistente destes RATs pode dificultar a sua eliminação até que não se aja com cuidado.

As recomendações práticas não são inovadoras, mas continuam a ser as mais eficazes: evita a instalação de aplicações desde origens não verificadas, revisa e questiona as permissões que solicita qualquer app, especialmente acessibilidade, e não aceites “atualizações” fora da loja oficial. O Google mantém recursos com orientação sobre como proteger o seu dispositivo e o Play Protect que podem ajudá-lo a verificar apps e comportamentos suspeitos no Android, e é recomendável seguir esses guias: Centro de Ajuda do Google Play e documentação para desenvolvedores de acessibilidade developer.android.com.

Se você suspeitar que o seu dispositivo foi comprometido por uma aplicação como esta, deve agir rapidamente, mas com precaução: revogar as permissões de acessibilidade a partir dos ajustes antes de tentar desinstalar a app, usar o modo seguro se a remoção direta falhar, executar uma digitalização com soluções de segurança reconhecidas e mudar senhas e ativar a autenticação de dois fatores em serviços críticos. Em casos de roubo de credenciais financeiras, contacta a sua entidade bancária para notificar movimentos suspeitos e bloquear cartões ou acessos.

Além da medida individual, este incidente lembra que as plataformas de colaboração e distribuição precisam melhorar as ferramentas de detecção de abuso: controles automáticos, revisão de conteúdos executáveis e mecanismos de resposta mais ágils são fundamentais para reduzir a janela de exposição. As equipes de segurança de Hugging Face atuaram após a notificação de Bitdefender, mas a facilidade para recriar repositórios e mudar nomes mostra que o desafio é persistente.

Num ecossistema móvel cada vez mais central na vida financeira e pessoal, a melhor defesa continua a ser a combinação de precaução do usuário e uma resposta coordenada entre pesquisadores, plataformas e fornecedores. Mantenha seu sistema e aplicativos atualizados, instala apenas de fontes confiáveis e não concedas permissões sensíveis sem entender por que uma aplicação precisa; com esses simples hábitos reduz muito a superfície de ataque que buscam explorar campanhas como a descrita por Bitdefender.