Falso app de imposto de renda Coretax espalha trojans bancários da família GoldFactory na Indonésia
Durante a temporada de declaração de impostos indonésia, criminosos usam contas falsas de WhatsApp se passando pela receita federal (DJP) para distribuir aplicativos maliciosos que imitam o app oficial Coretax, instalando trojans bancários da infraestrutura GoldFactory (Gigabud.RAT, MMRat e Taotie). O malware abusa de serviços de acessibilidade para gravar a tela, capturar credenciais e OTPs, e executar transferências automáticas, com prejuízo estimado entre US$ 1,5 e 2 milhões só na campanha local e cerca de US$ 6 milhões de impacto anual global da mesma infraestrutura MaaS.
A Group-IB descreveu uma campanha de fraude fiscal que explora o período de declaração de imposto de renda na Indonésia, alvo de 67 milhões de contribuintes. Golpistas criam perfis falsos no WhatsApp se passando por funcionários da Direktorat Jenderal Pajak (DJP, a receita federal indonésia) e enviam links de download disfarçados de atualização do aplicativo oficial Coretax, usado para declarar e pagar impostos.
A cadeia de ataque é multiestágio e mistura malware com engenharia social ao vivo. Após a instalação, o dispositivo aparenta travar ou exibe tela preta — na prática, o malware está coletando informações sensíveis do aparelho em segundo plano e baixando componentes adicionais. Em seguida, a vítima recebe uma ligação telefônica (vishing) de alguém se passando por fiscal, pressionando por um "pagamento" urgente. É nesse momento que o componente bancário entra em ação: abusando de permissões de Serviço de Acessibilidade e acesso a SMS — técnica clássica de trojans bancários Android —, o malware grava a tela continuamente, captura credenciais e OTPs digitados e, em alguns casos, executa transferências automaticamente, contornando MFA.
O que torna o caso mais grave é a infraestrutura por trás: a Group-IB atribui a campanha à família GoldFactory, identificando três linhagens de malware ativas — Gigabud.RAT (211 amostras novas, foco em gravação de tela e bypass de MFA), MMRat (6 amostras, com C2 customizado via Protocol Buffers e controle remoto total do dispositivo) e Taotie (11 amostras, provavelmente de desenvolvedores chineses, ainda em investigação). Todas compartilham um framework central de geração e rotação de domínios que permite reaproveitar a mesma base técnica para clonar rapidamente mais de 16 marcas diferentes e gerar quase mil URLs de phishing adicionais, com expansão já observada para Tailândia, Vietnã, Filipinas e África do Sul — ou seja, um modelo de malware-as-a-service (MaaS) plugável a qualquer isca regional, não um ataque isolado.
A defesa prática passa por dois pontos: nunca instalar aplicativos de órgãos governamentais fora da loja oficial (Play Store/App Store) ou de link enviado por WhatsApp/SMS, mesmo que o remetente pareça oficial; e desconfiar de qualquer ligação que peça pagamento urgente de imposto por fora dos canais bancários habituais. Bancos e instituições financeiras da região já reagem com biometria comportamental e limites/alertas de transação, mas a taxa de comprometimento observada (0,025% da base de clientes) mostra que, em escala, mesmo uma fração pequena de vítimas gera perdas de centenas de milhares de dólares por mês.