Malware Android 'Wonderland' evolui roubo de SMS para fraude bancária no Uzbequistão
A Group-IB descreveu uma nova geração de malware Android para furto de SMS no Uzbequistão, batizada Wonderland, que substitui a espionagem passiva antiga por controle remoto bidirecional via WebSocket. O malware intercepta OTPs e alertas bancários, dispara comandos USSD e mensagens em nome da vítima, e se dissemina majoritariamente pelo Telegram usando sessões roubadas e APKs disfarçados de vídeos ou documentos. Segundo a empresa, apenas um grupo já monitorado teria drenado mais de US$ 2 milhões desde janeiro de 2025 usando essa técnica.
O relatório da Group-IB descreve a evolução dos droppers Android usados para fraude financeira no Uzbequistão, culminando na família Wonderland, que abandona o modelo antigo de captura passiva de SMS em favor de um canal de controle remoto em tempo real. O malware detecta emuladores, root e ferramentas de análise dinâmica antes de ativar suas funções maliciosas, dificultando a análise por pesquisadores e antivírus.
Por dentro, a infecção começa com um dropper que se instala sem pedir permissões chamativas e, já dentro do aparelho, descompacta localmente uma carga criptografada. O Wonderland abre então uma conexão WebSocket bidirecional com o servidor de comando e controle, permitindo que o operador execute comandos USSD arbitrários e envie SMS pela vítima em tempo real. Na prática, isso significa interceptar códigos OTP e links de autenticação bancária, ocultar notificações push durante uma transferência fraudulenta e até acionar consultas USSD de saldo — tudo remotamente e sem o conhecimento do dono do aparelho.
A distribuição acontece majoritariamente dentro do próprio Telegram: usando sessões sequestradas de vítimas anteriores, o APK malicioso é reencaminhado a contatos da agenda, disfarçado como vídeo, foto ou documento oficial (recurso comum é a extensão dupla, como "video.mp4.apk"). Páginas falsas de Google Play, anúncios em redes sociais e até aplicativos de namoro completam os canais de disseminação.
Para reconhecer e se proteger, o ponto central é desconfiar de qualquer APK recebido por chat — mesmo vindo de um contato conhecido, já que a sessão dele pode estar comprometida — e nunca instalar aplicativos fora da Play Store. Vale conferir a extensão real do arquivo antes de abrir e negar permissões de SMS/notificações a apps que não as justificam claramente. Bancos, por sua vez, deveriam tratar o SMS OTP como fator fraco e reforçar a autenticação com análise comportamental e de dispositivo, já que esse tipo de malware existe justamente para contornar esse fator.