Malware distribuído através da maior plataforma de pagamentos instantâneos do Brasil

A Check Point Research identificou um conjunto de ciberataques que visavam utilizadores do PIX, uma solução de pagamento instantâneo criada e gerida pelo Banco Central Brasileiro. Os atacantes distribuíram duas variantes diferentes de malware bancário, denominadas PixStealer e MalRhino, através de duas aplicações maliciosas disponíveis na Google Play Store. Ambas as aplicações foram concebidas para roubar dinheiro das vítimas através da própria interação do utilizador e da versão original e legítima da aplicação PIX, explica, em comunicado, a empresa de segurança.

Considerada a principal solução de pagamento instantâneo do Brasil, o PIX processa mais de 40 milhões de transações por dia, movendo, por semana, o equivalente a quase cinco mil milhões de dólares por semana.

A primeira variante identificada foi apelidada de PixStealer. Apresentada numa versão mais “leve”, segundo a Check Point, os atacantes conceberam a PixStealer com apenas uma capacidade: transferir os fundos de um dado utilizador para uma conta controlada por um agente malicioso. A ideia de que se trata de uma versão mais leve é uma referência à capacidade da variante de operar sem estar conectada a um servidor Command & Control (C&C), permitindo que permaneça indetetável. A Check Point acabou por encontrar este malware a ser distribuído na Google Play Store, sob disfarce de um serviço falso de cashback do PagBank que visava apenas o PagBank brasileiro.

Quando um utilizador abre a aplicação bancária PIX, o Pixstealer apresenta à vítima uma página que se sobrepõe aos movimentos do atacante, tornando-os invisíveis para o utilizador. Por trás da página, o atacante transfere o saldo bancário para outra conta.

A Check Point identificou ainda uma variante de malware mais avançada, capaz de ‘hackear’ completamente a aplicação móvel PIX e outras aplicações bancárias. Denominada MalRhino, a mais avançada variante de malware foi encontrada numa falsa aplicação iToken para o Inter Bank brasileiro – também distribuída através da Google Play Store. O ataque inicia-se quando o malware MalRhino exibe, no ecrã do utilizador, uma mensagem que procura convencer o mesmo a conceder a permissão de acessibilidade.