Ameaça Android! App contaminado foi baixado 50 mil vezes no Google Play

Um novo aplicativo contaminado com malware espião e que foi baixado milhares de vezes pelos usuários, diretamente da Google Play Store, foi descoberto por pesquisadores.

Desta vez, a ameaça estava incorporada ao app iRecorder – Screen Recorder, que havia sido lançado em 19 de setembro de 2021 e teve mais de 50 mil downloads. Ela foi descoberta por especialistas da ESET.

O malware era um trojan de acesso remoto (RAT), capaz de extrair gravações dos microfones dos celulares, incluindo ligações telefônicas, coletar arquivos e carregar informações para o servidor controlado pelo invasor.

Ao longo do tempo

Um dos pesquisadores responsáveis pela identificação, Lucas Stefanko, destacou que o aplicativo não apresentava risco aos usuários, quando ele foi lançado. A função maliciosa teria sido implantada ao longo do tempo.

Conforme os estudos e análises feitas, o malware foi incorporado na versão 1.3.8 do aplicativo, disponibilizada em agosto de 2022. Se você baixou o app a partir dessa data, é bom ficar atento.

Esse tipo de ação, quando um app legítimo é lançado, sem qualquer contaminação, e depois de certo tempo ele é atualizado com um código malicioso, é considerada algo raro.

Tipo ideal para espionagem

O malware utilizado no iRecorder foi inspirado no AhMyth Android RAT, um trojan que possibilita acesso remoto aos dados do usuário e que foi otimizado para uma nova versão chamada AhRat.

Os pesquisadores da ESET não conseguiram especificar qual grupo de ameaça (hackers) estaria por trás da ação, mas concluíram que o malware faz parte de alguma campanha de espionagem.

Antes desse episódio, já se sabia que o AhMyth de código aberto era utilizado pelo Transparent Tribe, também conhecido como APT36, que é um grupo de ciberespionagem conhecido pelo uso de técnicas de engenharia social focadas em atingir órgãos públicos e militares no sul da Ásia.

O que foi descoberto, até então, não permite atribuir a ação no iRecorder a um grupo específico. Os indícios não apontam para nenhum grupo de ameaça persistente avançada, os chamados APTs.

Ameaças frequentes

Essa não é a primeira vez que malwares são identificados em aplicativos disponíveis na loja do Google e que atingem, principalmente, aparelhos Android. Recentemente, um vírus que rouba dinheiro foi identificado em 11 apps do Google Play.

O malware do tipo trojan estava se passando por apps legítimos, que foram baixados mais de 620 mil vezes por usuários. A reação da loja virtual foi semelhante a esse novo caso com o iRecorder: retirar da venda todos os softwares contaminados.