Trojans bancários para Android comprometem quase 18.000 telemóveis e roubam 7,6 milhões de SMS na Índia

Uma campanha coordenada de malware para Android dirigida a clientes bancários na Índia comprometeu pelo menos 17.960 dispositivos e intercetou mais de 7,6 milhões de mensagens de texto, incluindo códigos de utilização única e alertas de transações. A atividade é seguida como um cluster com motivação financeira designado CyberDakait, que combina chamadas telefónicas de engenharia social, sites de phishing com temática bancária, aplicações trojanizadas e até mineração de criptomoedas no telemóvel da vítima.

O que aconteceu

Os operadores fizeram-se passar por 11 bancos indianos e dois programas governamentais. O esquema começa normalmente com uma chamada: alguém que diz trabalhar para o banco da vítima avisa que foi ativado um "plano de proteção do cartão de crédito" que começará a gerar encargos se não for cancelado de imediato. O interlocutor envia depois uma ligação, muitas vezes por WhatsApp, que supostamente conduz ao formulário de cancelamento.

A ligação abre uma página de phishing com o aspeto do banco, que entrega um APK Android alojado em repositórios públicos do GitHub. Depois de instalada, a aplicação mostra um ecrã falso de atualização do Google Play e descarrega discretamente uma segunda componente. Pede ao utilizador que a exclua da otimização de bateria para continuar a correr de forma permanente e conduz depois a vítima por um "cancelamento" faseado que recolhe números de cartão, datas de validade e códigos CVV, credenciais de homebanking, números de identificação e até fotografias. Cada pedido parece mais um passo de verificação, e é precisamente isso que torna o fluxo convincente.

Nos bastidores, o malware reencaminha cada SMS recebido para bots do Telegram e back-ends Firebase controlados pelos atacantes, quase em tempo real. A contagem de mensagens intercetadas chegou exatamente a 7.611.443. O número de vítimas provém de dois canais: cerca de 2.400 dispositivos únicos observados através de notificações de instalação e aproximadamente 15.600 mais expostos através de uma infraestrutura Firebase mal configurada.

A atividade contra o setor financeiro indiano tem sido observada desde julho de 2025, com queixas de vítimas que remontam a janeiro de 2025. As contas do GitHub usadas para a distribuição foram entretanto desativadas.

Sete famílias de malware, um único guião

Na campanha foram identificadas sete famílias distintas de trojans: cyb3rx, appkjl, godz, d-passive, d-shine, GhostBat e tenxen. O GhostGrab, visto em campanhas anteriores de roubo bancário, revelou-se uma versão mais antiga do GhostBat e não uma oitava família. Os temas de phishing partilhados não bastaram para juntar todas as amostras: as famílias diferem no tráfego de rede, nas estruturas de base de dados, nos formatos das mensagens e na gestão de comandos.

O que têm em comum é o conjunto de ferramentas: interceção e reencaminhamento de SMS, reencaminhamento de chamadas e roubo de credenciais através de interfaces falsas convincentes. Algumas comunicam por Telegram, outras por Firebase e outras com servidores web comuns.

Dois pormenores destacam-se. Primeiro, foi encontrada uma aplicação Android de administração que permite aos operadores gerir as infeções cyb3rx a partir de um telemóvel: consultar mensagens intercetadas, extrair dados obtidos por phishing, gerir dispositivos, enviar SMS, alterar regras de reencaminhamento, ativar o reencaminhamento de chamadas e executar códigos USSD personalizados. Além disso, parte da cadeia de infeção inclui uma componente chamada d-miner, que instala o XMRig para minerar criptomoedas no dispositivo da vítima, recorrendo a wake locks, reprodução de áudio silenciosa e serviços em primeiro plano para evitar ser terminada pelo Android.

Há também sinais de que os programadores do GhostBat escreveram e compilaram o malware diretamente em telemóveis Android. Se todas as famílias pertencem ao mesmo operador continua por confirmar: o CyberDakait deve ser lido como um cluster de comportamentos de campanha sobrepostos e não como um único grupo comprovado.

Porque é que importa

O SMS continua a ser a espinha dorsal da autenticação de transações em muitos bancos. Um trojan que reencaminha silenciosamente códigos de utilização única, combinado com dados de cartão e de acesso acabados de roubar por phishing, dá aos criminosos tudo o que precisam para aprovar transferências fraudulentas em tempo real. Os documentos de identidade e as fotografias roubadas deixam ainda as vítimas expostas a usurpações de identidade muito depois da fraude inicial.

A campanha mostra também quão baixa se tornou a barreira de entrada: repositórios gratuitos de código como mecanismo de distribuição de malware, bots de mensagens de consumo como comando e controlo e uma consola de administração no telemóvel para os operadores.

O que fazer

Para particulares:

• Nunca instale uma aplicação bancária a partir de uma ligação recebida por chamada, SMS ou WhatsApp. Use apenas a página oficial da loja de aplicações.
• Trate qualquer chamada não solicitada sobre um "plano de proteção" ou um "cancelamento" como fraude. Desligue e ligue para o número impresso no cartão.
• Reveja que aplicações têm permissões de SMS e retire-as a tudo o que não precise delas.
• Se suspeitar de comprometimento, contacte de imediato o banco para bloquear cartões e contas e reponha depois as definições de fábrica do dispositivo.

Para bancos e fintechs:

• Vigie domínios que imitam a sua marca com termos como "proteção de cartão" ou "cancelar plano", bem como repositórios públicos que distribuem APK com o seu nome.
• Encaminhe os clientes para autenticação na aplicação ou baseada em hardware sempre que possível e sinalize transações que se seguem a uma vaga de reencaminhamentos de SMS ou alterações ao reencaminhamento de chamadas.
• Acompanhe os canais clandestinos e as plataformas de mensagens à procura de dados de cartão e credenciais dos seus clientes que tenham sido divulgados.

Campanhas como esta deixam rasto fora do seu perímetro: mensagens intercetadas, listas de cartões e credenciais transacionadas em canais do Telegram e mercados da dark web. O serviço de monitorização da Deep/Dark Web da 4tify foi concebido para detetar cedo este tipo de exposição, para que as contas comprometidas possam ser bloqueadas antes de a fraude se concretizar.