Pesquisadores do Group-IB alertam sobre criminosos que utilizam Android virtuais para contornar as soluções de segurança modernas.
Os telefones na nuvem são Android virtuais capazes de imitar totalmente as características específicas de dispositivos reais (modelo, hardware, endereço IP, fuso horário, dados de sensores e comportamento). Isso lhes permite burlar os sistemas de detecção de fraudes baseados em dispositivos utilizados pelos bancos.
Inicialmente, as fazendas de telefones eram compostas por dispositivos físicos e criadas para fins de teste. Seu número cresceu quando as empresas descobriram que podiam alugar telefones virtuais e aumentar artificialmente as métricas de engajamento, como número de seguidores, curtidas, compartilhamentos e assim por diante. O crescimento posterior foi impulsionado pela migração da infraestrutura das fazendas de telefones físicos para telefones na nuvem.
Em determinado momento, os cibercriminosos descobriram como usar esses “telefones alugados” para induzir as pessoas a compartilhar o acesso a contas bancárias e carteiras de criptomoedas, que eram então esvaziadas.
Os bancos perceberam essas táticas e começaram a desenvolver aplicativos móveis que utilizam a identificação de dispositivos. Isso os ajudou a detectar e bloquear dispositivos falsos que tentavam assumir o controle das contas dos usuários.
Mas, como acontece em qualquer corrida armamentista, os criminosos também encontraram uma maneira de contornar isso. Agora, eles “pré-aquecem” os dispositivos instalando aplicativos bancários, registrando credenciais e realizando pequenas transações, para que as contas e os dados de telemetria do dispositivo pareçam de baixo risco.
Os pesquisadores observam que:
“Eles migraram para telefones na nuvem — Android de acesso remoto operando em centros de dados. Para todos os efeitos, trata-se de telefones reais, que executam firmware genuíno, apresentam um comportamento natural dos sensores e fornecem uma certificação de hardware válida.”
E não é um grande investimento para os criminosos. As principais plataformas de telefonia na nuvem oferecem aluguel de dispositivos por apenas US$ 0,10 a US$ 0,50 por hora, tornando a infraestrutura de fraude acessível a praticamente qualquer pessoa.
Um dos locais onde esses dispositivos são utilizados é em jogos para celular com economias baseadas em dinheiro real. Esses jogos enfrentam há muito tempo um problema específico: a geração automática de moeda e recursos do jogo por bots. Em muitos casos, contas automatizadas podem gerar itens do jogo que possuem valor no mundo real.
Os bancos enfrentam um problema diferente: os ataques de apropriação de conta (ATO). À medida que os serviços bancários passaram dos navegadores da web para os aplicativos móveis, tornou-se necessário adotar métodos mais confiáveis e abrangentes para identificar dispositivos confiáveis. Atualmente, muitos bancos vinculam as contas a dispositivos específicos e sinalizam as transferências que não são originadas desses dispositivos.
O início de um ataque ainda passa pela engenharia social. Os criminosos tentam induzir os usuários a compartilhar senhas de uso único (OTPs), aprovar um login ou fazer uma transferência “para uma conta segura”.
Nos bastidores, o criminoso faz login em uma instância de telefone na nuvem que, para o banco, já se parece com o dispositivo da vítima, graças a impressões digitais correspondentes ou plausíveis e a um comportamento pré-configurado.
Assim que os criminosos conseguem acesso, eles realizam transferências por meio de pagamentos push autorizados (APP) (geralmente para contas de lavadores de dinheiro ), que os sistemas do banco podem considerar de baixo risco, pois nada no dispositivo parece estar claramente errado.
Nesse momento, os criminosos podem começar a esvaziar sua conta ou vender os telefones virtuais a outros criminosos. Segundo os pesquisadores:
“Os mercados da darknet comercializam ativamente contas de dropper pré-verificadas criadas em telefones na nuvem, com contas do Revolut e do Wise custando entre US$ 50 e US$ 200 cada, muitas vezes incluindo acesso contínuo à instância do telefone na nuvem.”
Como se manter seguro
Os pesquisadores do Group-IB recomendam aos usuários finais que:
- Nunca conclua processos de verificação de conta seguindo instruções de terceiros. Lembre-se de que bancos e instituições governamentais não solicitam aos clientes que autentiquem suas contas por meio de aplicativos desconhecidos ou em ambientes remotos.
- Ative os recursos de segurança do dispositivo. Use aplicativos oficiais de serviços bancários móveis, autenticação biométrica e configurações de segurança robustas no nível do dispositivo.
- Tenha cuidado com esquemas de “ganho fácil” que envolvam contas bancárias. Ofertas de emprego falsas que exijam que você “verifique” contas bancárias, funcionários públicos solicitando a verificação de contas, representantes de bancos pedindo que você transfira dinheiro para contas “seguras”.
- Se você suspeitar que foi alvo de um ataque, entre em contato com seu banco imediatamente. Atualize suas senhas e ative a autenticação multifatorial em todas as contas.
Gostaríamos de acrescentar:
- Ative os alertas bancários para logins, alterações de beneficiários e transações, sempre que possível, para que você perceba imediatamente qualquer atividade incomum.
- Use uma solução antimalware atualizada e em tempo real no seu dispositivo Android para detectar e bloquear programas que roubam informações.
- Se tiver dúvidas sobre uma mensagem, consulte Malwarebytes Guard. Ele ajudará você a descobrir se se trata de uma fraude e orientará sobre o que fazer.
Não nos limitamos a informar sobre segurança telefônica - nós a fornecemos
Os riscos de segurança cibernética nunca devem se espalhar além de uma manchete. Mantenha as ameaças longe de seus dispositivos móveis fazendo o download Malwarebytes para iOS e Malwarebytes para Android hoje mesmo.
