Páginas Falsas do Google Play Espalham Malware SpyNote Para Usuários Android

Uma nova campanha de malware para Android recentemente descoberta está distribuindo o poderoso SpyNote Trojan de Acesso Remoto (RAT) ao imitar páginas da Google Play Store em sites enganosos.

Pesquisadores de segurança da Infosecurity afirmam que a campanha utiliza domínios recentemente registrados para enganar usuários a baixarem aplicativos infectados, disfarçados como softwares populares.

As páginas falsas se assemelham muito às listagens genuínas do Google Play, com carrosséis de imagens, botões de “Instalar” e vestígios de código referenciando o aplicativo Android do TikTok. Quando os usuários clicam para instalar, um JavaScript malicioso ativa um download automático de um arquivo APK armadilhado.

Uma vez instalado, o APK executa uma função oculta que libera um segundo APK contendo a carga útil principal do SpyNote. Este malware se conecta a servidores de comando e controle (C2) usando endereços IP codificados em seu código, permitindo acesso remoto e vigilância.

SpyNote concede aos invasores um controle abrangente sobre os dispositivos infectados. Suas características incluem interceptar chamadas e SMS, acessar contatos, gravar chamadas telefônicas, registrar teclas digitadas, ativar a câmera e o microfone, e rastrear a localização via GPS.

O malware também pode instalar outros aplicativos, bloquear ou apagar dispositivos e impedir a remoção, abusando dos serviços de acessibilidade do Android.

“SpyNote é notório por sua persistência, geralmente requerendo uma reinicialização de fábrica para sua remoção completa”, alertaram os pesquisadores da DomainTools, que descobriram a campanha, conforme relatado pela Infosecusiry.

Indícios no malware e na infraestrutura de entrega sugerem uma possível ligação com a China. O malware contém código em língua chinesa e usa plataformas de distribuição hospedadas na China.

Infosecurity observa que, embora nenhuma atribuição definitiva tenha sido feita, o SpyNote já foi associado anteriormente a campanhas de espionagem contra o pessoal de defesa indiano e com grupos de ameaças avançadas como APT34 e APT-C-37.

Esta descoberta segue uma onda de ameaças semelhantes direcionadas ao Android, incluindo o recente malware ToxicPanda que visava aplicativos bancários. Especialistas em segurança recomendam evitar o download de aplicativos de terceiros e confiar apenas em lojas de aplicativos confiáveis.