Hirudo torna inútil o conselho “confira o app”. Confira a origem

“Veja se o app parece o correto” é, há anos, um conselho de segurança padrão. Agora tente segui-lo quando o próprio malware apaga o seu app de banco verdadeiro e instala um imitador que se comporta da mesma forma. Essa é a lição incômoda do Hirudo.

Segundo a reportagem da CHIP sobre as descobertas da ThreatFabric, o Hirudo se passa por um app de compras, entretenimento ou vídeos curtos. Depois de instalado, ele pede permissões com um pretexto, entre elas os serviços de acessibilidade. Em seguida, remove o app bancário original, baixa uma versão modificada e a instala. Até agora, a ThreatFabric encontrou cópias de oito apps de bancos.

O app adulterado se parece em grande parte com o original. Segundo relatos, os atacantes conseguem capturar senhas bancárias, PINs de pagamento e do aparelho, mensagens SMS e o conteúdo da tela, e até abusar da câmera e do microfone. Os primeiros casos envolveram apps de bancos da Indonésia, com sinais de ataques a instituições financeiras na China, na Índia, no México, no Marrocos e na Tailândia. O número de vítimas é desconhecido, mas se diz que chega a milhares.

As verificações em que confiávamos são justamente as contornadas

O assustador não é o app falso. Apps falsos são velhos conhecidos. O problema é que um mecanismo de hooking embutido, segundo relatos, consegue driblar verificações de assinatura, controles de acessibilidade e consultas do Play Integrity, exatamente as salvaguardas que esperamos que flagrem adulterações. Um banco não consegue distinguir com facilidade “meu app verdadeiro” de “uma cópia que responde como meu app verdadeiro” se tudo de que a verificação depende roda no celular comprometido.

Para os usuários, as dicas antigas (“olhe o ícone”, “confira o nome”, “veja se é a versão certa”) já não bastam. Um texto secundário, o shattered.io, chega a dizer que o substituto tem o mesmo nome e a mesma versão do original. Na nossa avaliação, esse conselho está obsoleto para esse tipo de ameaça. Não dá para verificar um app a olho nu quando o atacante controla o que você vê.

Onde está a defesa de verdade: antes da instalação

Se não dá para confiar no app depois, a decisão que importa é a anterior: o que você deixa entrar no celular. O Hirudo não começa com um app de banco. Começa com um app de compras ou de vídeo de aparência inofensiva, e com você concedendo o acesso de acessibilidade. Então vamos ser diretos:

• Instale apenas de fontes oficiais. Não abra arquivos APK de lojas desconhecidas, por melhor que seja a oferta.
• Trate como sinal de alerta o pedido de permissão de acessibilidade feito por um app de compras ou de vídeo. Nossa opinião: se um app despretensioso precisa disso, apague o app.
• Mantenha o aparelho atualizado e faça verificações do Play Protect com regularidade, como recomenda o texto da CHIP.

Nada disso é glamouroso, e o Play Protect não faz mágica. Mas, a nosso ver, esses são os hábitos que funcionam antes de o estrago acontecer. Preferimos confiar em um hábito chato a confiar na autoverificação de um app de banco.

Os bancos precisam tirar a verificação do celular

A recomendação aos bancos é a parte mais reveladora: vincular as verificações de segurança ao lado do servidor e a transações específicas. Interpretamos isso como uma admissão tácita de que verificações apenas no aparelho não se sustentam. Em nossa opinião, é para lá que o setor está caminhando, e os usuários provavelmente devem esperar mais etapas de confirmação nos pagamentos. Chato, sim, mas melhor do que uma página de pagamento falsa que mostra “sucesso” depois de levar seus dados.

Trate a origem da instalação como a tranca da porta

Se você suspeita de uma infecção, o conselho do BSI citado pela CHIP é verificar os apps instalados recentemente e apagá-los primeiro. Depois, faça uma varredura com um antivírus atualizado, tente o modo de segurança e deixe a restauração de fábrica como último recurso, e é por isso que os backups importam. Mas prevenir sai bem mais barato. Trate a origem da instalação como a tranca da porta, não como uma preferência. O Hirudo mostra que, quando algo já está dentro, “parece normal” não diz nada.