Os investigadores do Group-IB alertam para o facto de os criminosos estarem a utilizar Android virtuais para contornar as soluções de segurança modernas.
Os «telemóveis na nuvem» são Android virtuais capazes de imitar na íntegra as características específicas de dispositivos reais (modelo, hardware, endereço IP, fuso horário, dados dos sensores, comportamento). Isto permite-lhes contornar os sistemas de deteção de fraudes baseados em dispositivos utilizados pelos bancos.
Inicialmente, as «fazendas de telefones» eram constituídas por dispositivos físicos e criadas para fins de teste. O seu número aumentou quando as empresas descobriram que podiam alugar telefones virtuais e aumentar artificialmente as estatísticas de interação, como o número de seguidores, «gostos», partilhas e assim por diante. O crescimento posterior foi impulsionado pela migração da infraestrutura das «fazendas de telefones» físicas para telefones na nuvem.
A certa altura, os cibercriminosos descobriram como usar estes «telemóveis alugados» para induzir as pessoas a partilhar o acesso às suas contas bancárias e carteiras de criptomoedas, que eram depois esvaziadas.
Os bancos perceberam estas táticas e começaram a desenvolver aplicações móveis que utilizam a identificação de dispositivos. Isto ajudou-os a detetar e bloquear dispositivos falsos que se apropriavam das contas dos utilizadores.
Mas, tal como acontece em qualquer corrida ao armamento, os criminosos também encontraram uma forma de contornar isso. Agora, eles «pré-aquecem» os dispositivos instalando aplicações bancárias, registando credenciais e efetuando pequenas transações, para que as contas e os dados de telemetria do dispositivo pareçam de baixo risco.
Os investigadores observam que:
«Passaram a utilizar telemóveis na nuvem — Android de acesso remoto que funcionam em centros de dados. Para todos os efeitos, trata-se de telemóveis reais, que executam firmware genuíno, apresentam um comportamento natural dos sensores e fornecem uma certificação de hardware válida.»
E não é um grande investimento para os criminosos. As principais plataformas de telefonia na nuvem oferecem aluguer de dispositivos por apenas 0,10 a 0,50 dólares por hora, tornando a infraestrutura de fraude acessível a praticamente qualquer pessoa.
Um dos locais onde estes dispositivos são utilizados é nos jogos para dispositivos móveis com economias baseadas em dinheiro real. Estes jogos enfrentam há muito tempo um problema específico: a acumulação automática de moeda e recursos do jogo por parte de bots. Em muitos casos, as contas automatizadas podem gerar itens do jogo que têm valor no mundo real.
Os bancos enfrentam um problema diferente: os ataques de apropriação de contas (ATO). À medida que os serviços bancários passaram dos navegadores da Web para as aplicações móveis, tornou-se necessário dispor de métodos mais fiáveis e abrangentes para identificar dispositivos de confiança. Atualmente, muitos bancos associam as contas a dispositivos específicos e sinalizam as transferências que não provêm desses dispositivos.
O início de um ataque continua a ser uma questão de engenharia social. Os criminosos tentam induzir os utilizadores a partilharem palavras-passe de uso único (OTPs), a aprovarem um início de sessão ou a efetuarem uma transferência «para uma conta segura».
Nos bastidores, o criminoso inicia sessão numa instância de telefone na nuvem que, para o banco, já se assemelha ao dispositivo da vítima, graças a impressões digitais correspondentes ou plausíveis e a um comportamento previamente configurado.
Assim que os criminosos conseguem aceder ao sistema, efetuam transferências através do sistema de pagamentos push autorizados (APP) (muitas vezes para contas de «lavadores de dinheiro» ), que os sistemas do banco podem considerar de baixo risco, uma vez que nada no dispositivo parece estar manifestamente errado.
Nessa altura, os criminosos podem começar a esvaziar a sua conta ou a vender os telemóveis virtuais a outros criminosos. Segundo os investigadores:
«Os mercados da Darknet comercializam ativamente contas de dropper pré-verificadas criadas em telefones na nuvem, com contas Revolut e Wise a custar entre 50 e 200 dólares cada, incluindo frequentemente acesso contínuo à instância do telefone na nuvem.»
Como se manter seguro
Os investigadores do Group-IB aconselham os utilizadores finais a:
- Nunca conclua processos de verificação de conta seguindo instruções de terceiros. Tenha em mente que os bancos e as instituições governamentais não pedem aos clientes que autentiquem as suas contas através de aplicações desconhecidas ou em ambientes remotos.
- Ative as funcionalidades de segurança do dispositivo. Utilize aplicações oficiais de banca móvel, autenticação biométrica e definições de segurança robustas ao nível do dispositivo.
- Tenha cuidado com esquemas de «ganhos fáceis» que envolvam contas bancárias. Ofertas de emprego falsas que exijam que «verifique» contas bancárias, funcionários públicos que solicitem a verificação de contas, representantes bancários que lhe peçam para transferir dinheiro para contas «seguras».
- Se suspeitar que foi alvo de um ataque, contacte imediatamente o seu banco. Atualize as senhas e ative a autenticação multifatorial em todas as contas.
Gostaríamos de acrescentar:
- Ative os alertas bancários para inícios de sessão, alterações de beneficiários e transações, sempre que possível, para que possa detetar imediatamente qualquer atividade invulgar.
- Utilize uma solução antimalware atualizada e em tempo real no seu dispositivo Android para detetar e bloquear programas destinados a roubar informações.
- Se tiver dúvidas sobre uma mensagem, consulte Malwarebytes Guard. Ele irá ajudá-lo a determinar se se trata de uma fraude e orientá-lo sobre o que fazer.
Não nos limitamos a informar sobre a segurança dos telemóveis - fornecemo-la
Os riscos de cibersegurança nunca se devem propagar para além de uma manchete. Mantenha as ameaças longe dos seus dispositivos móveis descarregando hoje mesmo Malwarebytes para iOS e Malwarebytes para Android.
