GoldFactory injeta código malicioso em apps bancários legítimos e já infectou 11 mil dispositivos na Ásia
A Group-IB detalha a evolução do grupo GoldFactory, que desde 2024 usa frameworks de instrumentação como Frida, Dobby e Pine para implantar código malicioso dentro de aplicativos bancários originais na Indonésia, Vietnã e Tailândia. Ao manter a aparência e o funcionamento do app oficial, as variantes identificadas (FriHook, SkyHook, PineHook e o novo Gigaflower) escondem sua atividade fraudulenta, abusam de serviços de acessibilidade e capturam dados financeiros e documentos de identidade. A campanha já soma mais de 11 mil dispositivos infectados e atingiu ao menos 30 instituições financeiras, normalmente após a vítima ser convencida por SMS ou Zalo, fingindo ser uma autoridade, a instalar o app adulterado.
O GoldFactory representa uma evolução preocupante da fraude bancária móvel na Ásia-Pacífico: em vez de criar um app falso do zero, o grupo pega o aplicativo bancário original e o "contamina" com código malicioso, usando frameworks públicos de instrumentação em tempo de execução — Frida, Dobby e Pine — para interceptar e alterar o comportamento do app sem descaracterizar sua aparência ou funcionalidade legítima. Isso resultou em variantes catalogadas como FriHook, SkyHook e PineHook, além do Gigaflower, uma versão experimental derivada do já conhecido Gigabud.
Por dentro, o ataque combina hooking em métodos Java e nativos para contornar verificações de integridade do app, abuso de serviços de acessibilidade do Android para ler a tela e ocultar notificações, falsificação de assinatura do aplicativo e captura de dados bancários, incluindo reconhecimento de texto (OCR) em fotos de documentos de identidade enviadas pela vítima. O resultado prático é um app que se parece e se comporta exatamente como o banco de verdade, enquanto exfiltra dados e pode executar ações silenciosas em segundo plano.
A entrada da vítima nesse esquema é clássica engenharia social: mensagens via SMS ou Zalo se passando por companhias elétricas, ministérios da saúde ou órgãos de registro civil pedem que a pessoa instale um "aplicativo oficial" — que na verdade é a versão adulterada do banco. Como o app final se comporta normalmente, a vítima raramente desconfia depois da instalação, o que explica a escala: mais de 11 mil dispositivos infectados e ao menos 30 instituições financeiras afetadas, com cerca de 2.200 infecções só na Indonésia na primeira onda.
A defesa prática passa por nunca instalar aplicativos bancários ou de órgãos públicos a partir de links recebidos por SMS, WhatsApp ou Zalo — mesmo que a mensagem pareça oficial — e sempre baixar pela loja oficial, conferindo o nome do desenvolvedor. Pedidos incomuns de permissão de acessibilidade em um app bancário são um sinal de alerta forte. Bancos deveriam reforçar atestação de integridade do aplicativo (Play Integrity API) e monitorar assinaturas de abuso de acessibilidade; usuários que notarem sumiço de notificações de transação ou comportamento estranho no app devem desinstalar imediatamente e contatar o banco por canal oficial.