À medida que os usuários da Internet migram de computadores desktop e laptop para plataformas móveis e da Internet das Coisas (IoT), os cibercriminosos estão fazendo a jornada com eles.

O Relatório de Ameaças do SophosLabs 2019 acompanhou essa mudança em vários tipos de ameaças para dispositivos móveis, a maioria dos quais tem como alvo o Android.

A tática mais simples aqui é tentar roubar aplicativos mal-intencionados após as verificações de segurança do Play Store do Google, com a suposição de que algumas vítimas farão o download delas antes de serem retiradas.

Cryptominers

Um bom exemplo deste ano é o rápido, mas taxativo, boom de criptodinizadores maliciosos, que não foram explicitamente banidos pelo Google até julho.

Qualquer um que tivesse o azar de acabar com um criptominer em seu telefone – possivelmente oculto como uma função dentro de outro aplicativo de aparência inocente – teria notado que o processador do seu dispositivo estava sobrecarregado.

Telefones que fazem isso constantemente parecem ter reduzido significativamente a vida útil da bateria quando comparados a modelos idênticos que não têm o código do minerador funcionando neles.

Tornando a detecção mais difícil, parte dessa atividade pode ser chamada pelo aplicativo de cyptomining baseado em JavaScript em um site externo.

Clickfraud móvel

Um caminho paralelo para os cibercriminosos móveis é a lucrativa indústria de publicidade clicada por anúncios, novamente incorporada em aplicativos aparentemente inócuos que simulam usuários que clicam em anúncios para gerar receita.

Há muito tempo estabelecida em computadores desktop, o clickfraud é um problema crescente no espaço móvel, pois o número de aplicativos e dispositivos o torna um alvo convidativo.

Assim como os cryptominers, não é fácil detectar aplicativos com essa intenção, mas o negativo para celulares é o mesmo, consumo de bateria e processador, enquanto os anunciantes são cobrados por cliques inúteis e o custo da publicidade on-line é elevado.

Compromisso da cadeia de produção

Em 2018, a SophosLabs descobriu um aplicativo legítimo fornecido como parte da imagem de firmware de um pequeno fabricante de celulares que tinha sido “trojanizado” na cadeia de produção, antes que alguém comprasse o dispositivo.

O aplicativo, Sound Recorder, foi modificado para interceptar secretamente e enviar mensagens de texto SMS:

A versão maliciosa do aplicativo poderia ter sido inserida na cadeia de suprimentos em vários lugares diferentes. Nunca foi disponibilizado através de qualquer loja de aplicativos, apenas em uma imagem de firmware específica em um modelo específico de telefone Android barato.

Detectar e muito menos remover esse tipo de aplicativo malicioso é quase impossível até que o fabricante do equipamento esteja ciente do comprometimento.

Internet das Coisas

Uma coisa que os dispositivos IoT de hoje têm em comum é que eles normalmente são deixados sem supervisão. Isso significa que eles são raramente, isso se alguma vez, são corrigidos e muitas vezes dependem de credenciais padrão – isso pode explicar por que o SophosLabs viu um aumento nos ataques contra dispositivos de IoT em 2018.

No entanto, o malware IoT está evoluindo rapidamente para segmentar dispositivos mais capazes, como os roteadores domésticos. O comprometimento do roteador existe há algum tempo, é claro, mas ataques comuns durante 2018, como o VPNFilter, oferecem pistas sobre suas novas ambições.

VPNFilter poderia atacar com sucesso dezenas de roteadores de inúmeros fornecedores, e o botnet que ele criou no processo parecia tão potente quanto algo que poderia afetar PCs ou servidores.

Os sucessores do botnet Mirai de 2016, que emprestam pedaços de seu código – Aidra, Wifatch e Gafgyt – ainda estão vivos e funcionando.

Quanto ao que vem a seguir, a SophosLabs informa que a lista de alvos de IoT está se expandindo para incluir servidores de banco de dados, roteadores de nível comercial e câmeras de CCTV em rede e sistemas de DVR.

Leia mais no Relatório de Ameaças do SophosLabs 2019 (somente em inglês).

Com informações do blog Naked Security by Sophos.