Fraude financeira 2.0: Grandoreiro e BTMOB camuflan ataques em software e serviços legítimos

Duas campanhas recentes, uma direcionada a equipamentos Windows que utiliza o troiano bancário Grandoreiro e outra orientada para móveis Android com o RAT BTMOB, confirmam uma tendência que as equipes de resposta já vêm alertando: a criminalidade financeira combina ferramentas técnicas sofisticadas com serviços legítimos para se tornar difícil de detectar e rápida de escalar.

No caso atribuído a Grandoreiro, os atacantes renovaram táticas clássicas —phishing por e-mail e arquivos comprimidos — e as misturaram com técnicas de evasão e abuso de software legítimo. O uso de DLL side-loading Permite aos operadores lançar livrarias maliciosas fazendo passar por componentes de aplicações confiáveis; além disso, as amostras analisadas incorporam módulos escritos em Delphi e bibliotecas que estabelecem comunicações P2P mediante WebRTC usando STUN e ICE, o que as camufla dentro de tráfego de videoconferências e dificulta sua identificação por assinaturas simples.

Os ficheiros detectados são dirigidos contra entidades financeiras de Portugal e plataformas de pagamentos e neobancos, mas os padrões de distribuição e as verificações anti-análises e CAPTCHA apontam uma campanha concebida para persistir e adaptar-se após acções policiais anteriores. Essa abordagem híbrida —phishing, side-loading, abuso de serviços na nuvem e controles anti-análise — é exatamente o que eleva o custo operacional para defensores e reduz a eficácia de controles superficiais.

No ecossistema móvel, BTMOB representa outra face do mesmo problema: um troiano que existe em modalidade “RAT-as-a-Service” e que facilita a conversão de smartphones em vetores completos de fraude e espionagem. Seu mecanismo típico combina sites de suplantação, arquivos APK enganosos e abuso do serviço de acessibilidade do Android para escalar privilégios sem interação adicional do usuário. O risco aumenta porque o produto é comercializado com um construtor de APKs e painéis prontos para operar, o que permite a atacantes com poucos conhecimentos técnicos montar campanhas regionaisizadas rapidamente.

A comercialização e as fugas do código-fonte fazem com que ferramentas poderosas passem às mãos de atores menos sofisticados, multiplicando a superfície de ameaça. Quando um produto malicioso é vendido por assinatura ou com licenças perpétuas e filtrados, as regras mudam: proliferam imitadores, reduzem as barreiras de entrada e crescem as economias ilegais ao redor do acesso inicial e a revenda de credenciais.

As implicações para empresas e usuários são claras: a detecção baseada exclusivamente em empresas ou em listas de bloqueio é insuficiente. Organizações financeiras, prestadores de serviços e departamentos de TI devem combinar controlos preventivos, detecção comportamental e resposta ativa. Para o Windows isso envolve políticas de execução restritas (application whitelisting), controle estrito de cargas de DLL, proteção de integridade de aplicativos, análise de processos que usam bibliotecas não assinadas e controles de e-mail mais agressivos que bloqueem downloads diretos a partir de links externos.

Em mobilidade, a recomendação imediata é conter a instalação fora de lojas oficiais e rever permissões: não conceder serviços de acessibilidade a aplicações não verificadas, manter proteção antimalware móvel atualizada, ativar o Google Play Protect, e aplicar políticas MDM que limitem a instalação de APKs e controlem a configuração de permissões sensíveis. A educação continua sendo vital: campanhas de sensibilização centradas em phishing móvel e verificação de URLs reduzem índices de infecção.

Além disso, qualquer entidade que gere dinheiro deve reforçar a autenticação e os sinais de fraude: implementar MFA resistente a simulacros de sessão, detecção de comportamento anormal em transações, limites de transferência por novos dispositivos e procedimentos de confirmação fora de banda para operações críticas. A nível de rede, monitorar padrões WebRTC/STUN/ICE incomuns e tráfego saliente para infra-estruturas não esperadas pode dar sinais precoces de exfiltração ou de túneis P2P maliciosos.

Para usuários individuais o mais efetivo é a prevenção básica: desconfiar de e-mails e mensagens inesperados que pedem baixar arquivos ou atualizar aplicativos, evitar instalar APKs a partir de repositórios de terceiros, manter sistema e aplicativos por dia, e usar senhas únicas com autenticação multifator em serviços financeiros. Se se suspeitar de uma infecção, isolar o equipamento ou o dispositivo, mudar credenciais de outro dispositivo seguro e consultar o banco sobre possíveis bloqueios são passos críticos.

As peças de inteligência neste caso vêm de assinaturas e assinaturas de pesquisa que documentam as campanhas; as equipes de segurança e os responsáveis pelo risco devem incorporar esses indicadores em suas regras e compartilhar ativamente IOC e TTP em suas comunidades locais e setoriais. Para seguir pesquisas e boletins técnicos, você pode consultar a página do WatchGuard e as análises publicadas pelo ESET, que divulgaram detalhes sobre ambas as famílias e sua evolução: WatchGuard Threat Lab e ESET WeLiveSecurity.

Em suma, estas operações demonstram que os atacantes financeiros preferem combinar engenharia social, reutilização de infra-estruturas legítimas e kits “listos para usar” para escalar rapidamente. A resposta deve ser igualmente multifacetada: endurecimento técnico, detecção baseada em comportamento, governança de licenças e formação constante de usuários.