MaliBot: novo trojan bancário Android mira usuários de banco e criptomoedas na Espanha e Itália
A Group-IB analisa o MaliBot, um trojan bancário para Android disfarçado de app de mineração de criptomoedas, que rouba credenciais bancárias e de exchanges e intercepta SMS para burlar MFA. O malware, considerado sucessor da família S.O.V.A., se espalha via APKs falsos, clonagem de apps legítimos e campanhas de smishing.
O MaliBot representa mais uma evolução na linhagem de trojans bancários para Android, sendo apontado pela Group-IB como sucessor do malware S.O.V.A. Sua isca principal explora o interesse por criptomoedas: o malware se apresenta como aplicativo de mineração ou como clone de apps populares e legítimos do setor, distribuído tanto via APKs para instalação manual quanto por campanhas de smishing que induzem a vítima a baixar o pacote malicioso fora da Play Store.
Tecnicamente, o MaliBot abusa de permissões sensíveis do Android para interceptar SMS (essenciais para roubar códigos OTP) e exfiltrar arquivos. Sua técnica mais perigosa é o ataque de overlay: ele sobrepõe uma tela falsa idêntica ao app real do banco ou da exchange sobre a interface legítima, capturando login e senha digitados pela vítima sem que ela perceba a substituição, e usando esse mesmo mecanismo para contornar a autenticação multifator.
O alvo geográfico descrito no momento da publicação eram instituições financeiras da Espanha e Itália, mas esse tipo de malware tende a expandir sua lista de apps-alvo rapidamente conforme é atualizado por seus operadores.
Do lado da defesa, a Group-IB descreve como sua solução de Fraud Protection combina três camadas: assinatura (comparação de certificados e hashes conhecidos do trojan), análise comportamental (detectando o uso anômalo de serviços de acessibilidade, recurso frequentemente abusado por esse tipo de malware para automatizar ações na tela) e inteligência de ameaças integrada. Para o usuário final, a prevenção prática passa por nunca instalar APKs fora da loja oficial, desconfiar de apps de mineração/cripto com poucas avaliações, e revisar periodicamente quais aplicativos têm permissão de serviço de acessibilidade ativada no aparelho.