Uma campanha de malware para Android recém-descoberta tem drenado dinheiro silenciosamente de usuários móveis em quatro países, inscrevendo-os em serviços pagos que nunca solicitaram. A operação operou por quase dez meses e realizou fraude financeira inteiramente nos bastidores, usando versões falsas de aplicativos bem conhecidos como seu principal ponto de entrada para os dispositivos das vítimas. A campanha visou usuários na Malásia, Tailândia, Romênia e Croácia, focando especificamente em pessoas assinadas com determinados operadores de rede móvel.
Descoberta e escopo
Analistas da Zimperium disseram em um relatório compartilhado com a Cyber Security News que sua equipe zLabs descobriu quase 250 aplicativos maliciosos vinculados a esta campanha. O malware explorou sistemas de faturamento de operadoras, que permitem que operadoras móveis cobrem usuários diretamente através de suas contas de telefone, em vez de exigir um cartão de crédito. A campanha apareceu pela primeira vez em março de 2025 e permaneceu ativa até janeiro de 2026.
Em vez de atacar amplamente qualquer dispositivo Android que aterrissasse, o malware verificou o cartão SIM da vítima primeiro e só agiu se a operadora correspondesse a uma lista pré-definida. Essa precisão tornou a fraude muito mais difícil de detectar e muito mais eficaz em evitar a atenção de segurança. O que tornou esta campanha especialmente perigosa foi o uso de nomes e ícones reais de plataformas para parecer completamente confiável.
Impacto e alcance
Uma vez instalado, o aplicativo realizou seu trabalho enquanto exibia conteúdo inocente para manter as vítimas totalmente inconscientes. Os usuários não tinham razão para suspeitar de nada. A Zimperium identificou três variantes distintas de malware, cada uma usando um método diferente para completar assinaturas não autorizadas. A variante mais avançada começou lendo a operadora móvel da vítima a partir dos dados do cartão SIM, em seguida, lançou um fluxo de trabalho de assinatura automatizado sem nenhum sinal visível de atividade para o usuário.
Esta primeira variante usou páginas da web ocultas carregadas em segundo plano, todas apontando para portais de faturamento de operadoras. Comandos JavaScript clicaram automaticamente no botão de assinatura, preencheram códigos OTP interceptados e confirmaram a transação. O malware também desabilitou o Wi-Fi do dispositivo, forçando todo o tráfego pela rede celular necessária para que o faturamento de operadoras tivesse sucesso.
Análise técnica detalhada
A segunda variante visou usuários tailandeses e combinou fraude de SMS silenciosa com sequestro de sessão do navegador. Ela entrou em contato com um servidor remoto para obter instruções de assinatura atualizadas, permitindo que os atacantes alterassem alvos sem empurrar uma nova versão do aplicativo. Ela também roubou cookies do navegador das páginas de faturamento de operadoras para manter acesso autenticado às contas das vítimas.
Uma terceira variante adicionou relatórios em tempo real através do Telegram. Cada vez que o malware se instalava, ganhava permissões ou enviava um SMS premium, ele disparava uma mensagem instantânea para um canal privado controlado pelos atacantes. Cada relatório incluía o ID do dispositivo, nome da operadora, identidade do aplicativo falso e a ação específica realizada. Um sistema de rastreamento de remetente marcou cada infecção com o nome do aplicativo falso, país e plataforma de distribuição.
Medidas de mitigação recomendadas
Para se proteger contra ameaças como esta, os usuários devem baixar aplicativos apenas de lojas oficiais e ter cuidado com qualquer aplicativo que solicite permissões de leitura de SMS. Verificar as contas de telefone regularmente em busca de cobranças não familiares é uma maneira prática de detectar assinaturas não autorizadas cedo. Manter o software de segurança móvel atualizado adiciona outra camada importante de defesa contra fraude de faturamento de operadoras.
As organizações devem monitorar o tráfego de SMS de saída de dispositivos móveis e implementar controles de acesso para prevenir a instalação de aplicativos não autorizados. A educação dos usuários sobre os riscos de baixar aplicativos de fontes desconhecidas é fundamental para prevenir infecções.
Implicações regulatórias e operacionais
Esta campanha destaca os riscos de segurança associados ao faturamento de operadoras móveis, que muitas vezes carecem de verificações de consentimento robustas. Para operadoras móveis, isso representa um risco de receita e reputação, pois os usuários podem contestar cobranças não autorizadas. A conformidade com regulamentações de proteção ao consumidor pode exigir que as operadoras implementem verificações mais rigorosas para transações de faturamento.
Equipes de segurança móvel devem revisar os logs de tráfego de SMS e implementar detecção de anomalias para identificar padrões de faturamento suspeitos. A colaboração com operadoras móveis é essencial para bloquear números de destino maliciosos e prevenir fraudes futuras.
Perguntas frequentes
Como sei se meu dispositivo foi infectado?
Verifique sua conta de telefone por cobranças não familiares e monitore o comportamento do dispositivo por atividades suspeitas.
Quais são os indicadores de comprometimento?
Domínios maliciosos, códigos de SMS premium e aplicativos desconhecidos instalados sem consentimento.
Como posso me proteger?
Baixe aplicativos apenas de lojas oficiais, revise permissões e monitore suas contas de telefone regularmente.