Craxs Rat: o trojan de acesso remoto por trás de fake apps e fraude bancária

A Group-IB documentou o uso do Craxs Rat, criado pelo ator de ameaça EVLF e atualizado até a versão 7.5 em abril de 2024, em campanhas de fraude bancária ativas em Singapura desde 2023. Nelas, aplicativos falsos se passavam por marketplaces (1st Mall, E2 Mall), salões de beleza, restaurantes e até um suposto "centro antifraude", somando cerca de dez marcas diferentes exploradas para induzir vítimas a instalar o malware.

O trojan deriva do código vazado do Spymax (2019) e evoluiu para versões bem mais sofisticadas. Instalado por sideload fora da Play Store, ele se conecta a um servidor de comando e controle usando endereços IP ofuscados em base64 e implementa mecanismos de persistência que sobrevivem a reinicializações. Uma vez ativo, dá ao operador controle quase completo do aparelho: captura de credenciais digitadas, leitura de SMS (incluindo códigos OTP bancários), ativação remota de câmera e microfone, geolocalização e até desbloqueio automático de tela — o suficiente para completar transferências em nome da vítima sem que ela perceba.

A distribuição se apoia em sites de phishing montados com kits como CRMEB, anúncios patrocinados em redes sociais e mensagens não solicitadas, sempre convencendo a vítima a baixar o app "fora da loja oficial" sob pretexto de promoção, cadastro ou atendimento.

A defesa prática passa por nunca instalar aplicativos fora de lojas oficiais, desconfiar de anúncios com urgência artificial para instalar um app, e revisar permissões solicitadas — pedidos de acesso a SMS, acessibilidade ou câmera por um app de "loja" ou "restaurante" são sinal de alerta. Bancos e fintechs, por sua vez, se beneficiam de reforçar device fingerprinting e detecção comportamental para identificar sessões controladas remotamente antes da confirmação da transação.