Malware Qwizzserial se espalha pelo Telegram no Uzbequistão para roubar dados bancários e interceptar SMS de 2FA
O trojan bancário Qwizzserial, identificado pela primeira vez pela Group-IB em meados de 2024, teve forte crescimento de atividade no Uzbequistão ao se disfarçar de aplicativos legítimos e canais oficiais do governo distribuídos via Telegram. Uma vez instalado, ele intercepta SMS de bancos e códigos OTP, filtra mensagens por valor de transação e envia os dados roubados para bots do Telegram controlados pelos criminosos.
A distribuição do Qwizzserial explora diretamente a confiança dos usuários uzbeques no Telegram como canal de comunicação cotidiano: mensagens de isca como "você tem essas fotos?" ou promessas de auxílio financeiro governamental levam a vítima a instalar um APK fora de qualquer loja oficial. Em uma camada adicional de engenharia social, os operadores chegam a criar canais falsos se passando por autoridades do governo uzbeque, inclusive forjando decretos presidenciais, para dar credibilidade à isca antes mesmo de o malware ser baixado.
Tecnicamente, o malware pede permissões de leitura de SMS e de chamadas assim que instalado. Nas primeiras versões, ele simplesmente exibia um formulário pedindo diretamente os dados do cartão bancário da vítima. Nas versões mais recentes, o app evita esse passo suspeito: mostra uma tela de carregamento infinita enquanto, em segundo plano, monitora as mensagens recebidas via broadcast receiver, aplica expressões regulares para identificar SMS de saldo ou transferência acima de um piso de cerca de 500 mil UZS (~US$ 38-39) e dispara requisições USSD silenciosas para capturar o número de telefone vinculado à conta bancária — uma forma de priorizar vítimas de maior valor e reduzir ruído para a operação de saque.
Os dados roubados são segmentados por categoria (dados de cartão, dados iniciais, SMS novo, SMS de valor alto) e enviados a quatro chats de Telegram distintos; versões mais recentes passaram a rotear tudo por um servidor intermediário antes de alcançar os bots, uma evolução operacional provável em resposta a derrubadas (takedowns) de bots do Telegram por parte de pesquisadores e da própria plataforma.
A prevenção prática para usuários da região é nunca instalar APKs recebidos por link no Telegram fora da loja oficial, desconfiar de mensagens que oferecem ajuda financeira do governo ou apelam à curiosidade, e revogar permissões de SMS/chamada de aplicativos que não sejam de mensageria. Para bancos, a resposta estrutural é migrar OTP de SMS para autenticação por push ou app dedicado — já que a interceptação de SMS é o núcleo técnico do golpe — além de usar como indicadores de comprometimento os domínios e padrões de C2 já publicados (como llkjllj[.]top) para bloqueio proativo.