Massiv, o trovão Android que rouba dinheiro escondido após apps de IPTV

Os pesquisadores em cibersegurança descobriram um novo troianos para Android que aponta para operações financeiras através do controle remoto de dispositivos. Conhecido como Massiv, este software malicioso se disfarça de aplicativos de IPTV para ganhar a confiança de quem buscam ver televisão online e termina executando uma série de técnicas destinadas a esvaziar contas ou suplantar identidades.

Massiv não se limita a roubar credenciais de forma tradicional: combina captura de tela, registro de teclas e sobreposição de interfaces falsas para enganar o usuário e capturar dados sensíveis, incluindo números de cartão e PIN. Para a transmissão de tela aproveita a API do MediaProjection Android, uma funcionalidade legítima projetada para compartilhar o ecrã, mas que nas mãos erradas facilita o roubo visual do que aparece no dispositivo ( Documentação oficial do MediaProjection).

Quando uma app legítima tenta impedir capturas, Massiv recorre a um método mais silencioso: usa os serviços de acessibilidade para ler a estrutura da interface de usuário. Ao percorrer as árvores de janelas e nodos de acessibilidade, o malware constrói uma representação em JSON do conteúdo visível –textos, descrições, posições e quais elementos são interativos – e envia essa informação ao atacante, que pode assim decidir quais ações automatizar.

Esta capacidade de "ver" e manipular o ecrã é complementada por telas pretas que ocultam a atividade maliciosa ao usuário, a possibilidade de silenciar o dispositivo, simular toques e deslizamentos, alterar a área de transferência e até desbloquear o telefone se souber ou conseguir o padrão. Além disso, você pode baixar sobreposições específicas para aplicativos bancários ou de identidade e executar instalações de pacotes sem que a vítima o perceba facilmente.

Um exemplo preocupante detectado pelos analistas é o uso dessas superposições para atacar aplicações de administração pública. Em Portugal, foram observadas campanhas que tentam enganar usuários da app oficial gov.pt, associada à gestão da Chave Móvel Digital, para pedir o número de telefone e o PIN e assim contornar controles de verificação. Com esses dados, os criminosos conseguiram abrir contas bancárias em nome das vítimas e usá-las como veículos para branquear dinheiro ou solicitar créditos.

A distribuição de Massiv costuma ser feita através de "droppers": aplicativos que aparentam ser reprodutores ou serviços de IPTV e que chegam por mensagens SMS com links de phishing. Ao abrir-se, a aplicação mostra uma página legítima dentro de um WebView, enquanto, em segundo plano, já foi instalado o componente malicioso que pede permissões para instalar aplicativos de fontes desconhecidas e acessar SMS e outras funções críticas.

O padrão não é novo, mas inquietante por sua sofisticação. O abuso de serviços de acessibilidade para automatizar fraudes e a técnica de superposição foram empregadas por famílias de malware bancário no Android durante anos. Massiv acrescenta a esse repertório um conjunto modular de comandos remotos e a capacidade de baixar pacotes com modelos para apontar aplicações concretas, sugerindo que seus autores estão profissionalizando a ferramenta.

Os relatórios técnicos que descreveram este troiano apontam para campanhas focalizadas em países como Espanha, Portugal, França e Turquia. Além disso, os indícios no código — por exemplo, a introdução de chaves API para a comunicação com o servidor — fazem pensar que seus operadores poderiam terminar oferecendo-o como um serviço para outros criminosos informáticos, um modelo conhecido como Malware-as-a-Service.

Para os usuários, há medidas práticas que reduzem o risco: evitar instalar aplicativos de links recebidos por SMS, verificar sempre que uma aplicação prove de lojas oficiais, manter o sistema operacional e os apps atualizados e revisar as permissões que solicita uma aplicação. Activa as protecções automáticas como o Google Play Protect e desconfia de pedidos que exigem licenças elevadas para “atualizações importantes” quando a fonte não é verificável ( Informações sobre Play Protect).

Se você tem um aplicativo bancário, certifique-se de usar os canais oficiais do banco e ativa autenticação de múltiplos fatores quando estiver disponível. Dada a suspeita de fraude ou se as notas transações estranhas, contacta imediatamente a sua entidade financeira e considera a opção de restabelecer dispositivos comprometidos com os ajustes de fábrica após a gravação de cópias do necessário.

A aparição de Massiv lembra que o ecossistema móvel continua sendo um objetivo lucrativo e que as táticas evoluem rapidamente. Para quem quiser aprofundar a análise técnica e a detecção, os investigadores que documentaram esta campanha publicaram um relatório detalhado com indicadores e observações ( relatório do ThreatFabric), e os meios especializados replicaram e contextualizaram seus achados ( The Hacker News).

A lição É claro: as aplicações que imitam serviços populares, como os leitores de TV, são uma via habitual para introduzir ameaças. A precaução e as boas práticas ao instalar software continuam a ser a primeira linha de defesa contra ferramentas cada vez mais automáticas e poderosas concebidas para se apoderar dos nossos telefones e, com eles, do nosso dinheiro e da nossa identidade.