Campanha maliciosa no Android utiliza aplicativos baixados 60 milhões de vezes
Uma campanha maliciosa denominada Vapor comprometeu mais de 300 aplicativos para Android, atingindo usuários em países como Brasil, EUA e México. Segundo empresas de segurança, incluindo a Bitdefender, os aplicativos atuavam como adware ou tentavam roubar credenciais e informações financeiras por meio de ataques de phishing. A campanha está em andamento desde o início de 2024.
Os aplicativos afetados eram utilitários que ofereciam funcionalidades como rastreamento de saúde, blocos de notas, otimizadores de bateria e scanners de QR code. Eles conseguiam passar pelas verificações de segurança do Google Play porque, inicialmente, não continham componentes maliciosos e ofereciam as funcionalidades prometidas. No entanto, após a instalação, os recursos maliciosos eram introduzidos via atualizações entregues por um servidor de comando e controle.
Para evitar detecção, os aplicativos eram publicados por várias contas de desenvolvedores e utilizavam diferentes SDKs de anúncios.
Após a instalação, desativavam sua atividade de inicialização no arquivo AndroidManifest.xml, tornando-se invisíveis. Alguns também se renomeavam nas Configurações para parecerem aplicativos legítimos, como “Google Voice”. Sem necessidade de interação do usuário, o malware ativava um componente oculto, mantendo o ícone do aplicativo invisível.
A campanha também explora vulnerabilidades para ignorar restrições da permissão SYSTEM_ALERT_WINDOW no Android 13 ou superior, criando uma sobreposição de tela cheia que exibia anúncios ininterruptamente. O botão “voltar” era desativado, impedindo que o usuário saísse da tela, e o aplicativo se removia da lista de apps abertos em segundo plano, dificultando sua identificação.
Além disso, alguns aplicativos exibiam telas falsas de login do Facebook e YouTube para roubo de credenciais.
Embora todos os aplicativos maliciosos já tenham sido removidos do Google Play, há o risco de que o Vapor retorne por meio de novos apps.
Recomenda-se evitar a instalação de aplicativos de desenvolvedores desconhecidos e verificar cuidadosamente as permissões solicitadas.
Alguns aplicativos incluem:
- AquaTracker – 1 milhão de downloads
- ClickSave Downloader – 1 milhão de downloads
- Scan Hawk – 1 milhão de downloads
- Water Time Tracker – 1 milhão de downloads
- Be More – 1 milhão de downloads
- BeatWatch – 500 mil downloads
- TranslateScan – 100 mil downloads
- Handset Locator – 50 mil downloads
A lista completa pode ser conferida neste link.
Caso um desses aplicativos esteja instalado, é essencial removê-lo imediatamente.