Roubo de SMS e RATs se unem em ataques sofisticados

Evolução das operações de malware Android: quando droppers, roubo de SMS e RATs se unem em ataques sofisticados

O ecossistema de ameaças móveis continua a evoluir de forma acelerada. Um relatório recente documentou uma operação de malware Android altamente complexa que combina três componentes de ataque em uma única campanha:

  • Dropper malicioso, usado para ocultar a carga útil real;

  • Roubo de SMS, para capturar mensagens — muitas vezes incluindo códigos de autenticação (OTP);

  • RAT (Remote Access Trojan), para controlar remotamente o dispositivo da vítima.

Essa combinação representa uma das formas mais avançadas de ameaça móvel observadas até agora, e tem sido atribuída a um grupo financeiro motivado, denominado TrickyWonders, que usa os códigos de ataque em grande escala por meio de uma infraestrutura modular e resiliente. 

 

1. Análise técnica da campanha móvel: dropper, SMS stealer e RAT integrados

1.1 Dropper como porta de entrada

Tradicionalmente, muitos trojans Android eram entregues diretamente como pacotes maliciosos (APK) que executavam malware assim que o usuário os instalava. A técnica identificada nesta campanha utiliza um dropper, que é um aplicativo aparentemente inofensivo que, ao ser instalado, desencadeia a entrega oculta da carga útil principal — neste caso, um SMS stealer com capacidades de RAT. Esse método complica a detecção por ferramentas de segurança tradicionais, pois o dropper em si não demonstra comportamento malicioso inicialmente. 

Os droppers usados neste ataque são ofuscados e projetados para parecerem confiáveis, utilizando nomes e ícones que imitam apps legítimos ou serviços populares, e são amplamente distribuídos por meio de páginas falsas que simulam a Google Play Store, campanhas maliciosas de publicidade e perfis falsos em redes sociais. 

 

1.2 SMS theft: interceptando comunicações e OTPs

Uma vez instalado o payload principal — identificado como o malware Wonderland (anteriormente conhecido como WretchedCat) —, o software malicioso tem como objetivo principal capturar mensagens SMS e códigos de autenticação enviados por esse canal. Isso permite que os atacantes coletem one-time passwords (OTPs) usados em autenticação multifator (MFA), sequências de login que normalmente fornecem uma camada extra de segurança nas aplicações financeiras ou plataformas sensíveis. 

Além disso, esse componente pode exfiltrar contatos, números de telefone e outros dados valiosos armazenados no dispositivo, enquanto oculta notificações para reduzir a probabilidade de a vítima perceber qualquer atividade suspeita. 

 

1.3 RAT: controle remoto e execução de comandos arbitrários

O aspecto mais preocupante é a integração de capacidades de Remote Access Trojan (RAT) no mesmo conjunto de ferramentas. Uma vez que o dropper entrega e instala o payload, o malware cria um canal de comunicação bidirecional (command and control — C2) com o servidor dos atacantes.

Essa canalização C2 permite:

  • Execução de comandos remotos em tempo real;

  • Execução arbitrária de USSD requests (códigos de serviço);

  • Movementos laterais e ações no dispositivo da vítima com permissões elevadas.

Isso transforma o dispositivo infectado em uma plataforma de ataque totalmente controlada pelo operador, com capacidades de navegar entre apps, exfiltrar dados, manipular SMS e potencialmente executar atividades financeiras fraudulentas. 

 

2. Vetores de distribuição e engenharia social

2.1 Páginas falsas e campanhas de marketing malicioso

Os droppers são distribuídos por meio de páginas que imitam a Google Play Store ou hospeda arquivos APK em endereços que parecem legítimos, mas são criados pelos criminosos para enganar as vítimas. Diversas campanhas também utilizam canais de mensagens como Telegram ou perfis falsos em redes sociais para ampliar o alcance. 

Em alguns casos, os invasores obtêm sessões de Telegram de usuários legítimos — muitas vezes vendidos na dark web — para enviar malware diretamente aos contatos dessas contas, criando um efeito de espalhamento em cadeia com confiabilidade social elevada. 

 

2.2 Habilitação de instalação de fontes desconhecidas

Para que o dropper instale o payload completo, o usuário precisa habilitar a instalação de apps de *fontes desconhecidas, uma configuração que pode ser explorada com telas que instruem a vítima a “instalar uma atualização” para continuar usando o app falso. Esta engenharia social minimiza a percepção de risco e induz usuários a conceder permissões críticas. 

 

3. Impactos para usuários e organizações

A convergência de droppers, roubo de SMS e RAT representa um aumento significativo na superfície de ataque e complexidade operacional das campanhas móveis:

3.1 Roubo de credenciais e violação de MFA

A captura de códigos OTP torna sistemas que dependem de SMS como segundo fator vulneráveis, abrindo caminho para o comprometimento de contas bancárias e plataformas críticas.

 

3.2 Exfiltração de dados e espionagem

Além de SMS, os atacantes podem coletar uma série de informações sensíveis — contatos, números de telefone, lista de apps instalados e até acesso a logs de chamadas — facilitando fraudes financeiras e roubo de identidade.

 

3.3 Controle remoto total do dispositivo

Com capacidades RAT, invasores podem manipular o dispositivo de forma silenciosa para executar operações não autorizadas, navegar por aplicações, monitorar interações e manter furtivamente o acesso. Isso cria um cenário em que a vítima mal percebe a corrupção de seu dispositivo até que um dano significativo ocorra.

 

4. Estratégias de defesa e mitigação

Dada a sofisticação dessa ameaça móvel, as medidas de defesa devem se estender além de antivírus básicos para incluir práticas e tecnologias mais robustas:

4.1 Educação contínua do usuário

  • Nunca instalar apps de fontes desconhecidas ou seguir links enviados por canais não verificados;

  • Desconfiar de prompts de “atualização” que solicitam permissões críticas;

  • Evitar permissões excessivas para qualquer app, especialmente SMS ou acessibilidade.

 

4.2 Políticas de segurança do dispositivo

  • Desativar a instalação de aplicativos de fontes externas sempre que possível;

  • Utilizar soluções MDM/EMM para monitorar e restringir instalações e permissões;

  • Controlar e monitorar acessos a SMS e serviços de acessibilidade.

 

4.3 Segmentação de rede e detecção comportamental

Ferramentas EDR/XDR móveis e sistemas de análise comportamental podem identificar padrões anômalos de SMS interceptados, tráfego C2 ou usos de serviços não usuais — sinalizando infecções mesmo quando o malware está ofuscado.

 

Conclusão

A operação que une droppers, roubo de SMS e funcionalidades RAT em Android exemplifica um salto na maturidade das campanhas de malware móvel, substituindo ataques simples por cadeias de ataque modulares, sofisticadas e mais difíceis de detectar. Ao integrar distribuição furtiva (dropper), roubo de mensagens e controle remoto completo, esses malwares transformam dispositivos aparentemente seguros em instrumentos de fraude financeira e roubo de dados.

Esse tipo de ameaça não apenas sublinha a importância de práticas robustas de segurança móvel, mas também destaca que medidas como educação do usuário, políticas restritivas de instalação de aplicativos e detecção de comportamentos anômalos são elementos essenciais de defesa em profundidade em um cenário onde os ataques são cada vez mais adaptativos e multi-fase.

 

Referência Bibliográfica