ESET identificou um malware espião no Google Play

A ESET descobriu o primeiro spyware criado a partir de uma ferramenta espia de código aberto AhMyth, que escapou do processo de verificação de aplicativos da Google.

O app malicioso, chamado Radio Balouch, também conhecido como RB Music, é na verdade usado para transmissão de rádio e é totalmente funcional. A desvantagem é que este app contém uma funcionalidade oculta que rouba dados pessoais dos seus utilizadores.

A ESET identificou duas versões do aplicativo malicioso no Google Play em dois momentos diferentes e, em cada caso, ele apresentava mais de 100 instalações. Após receberem alertas, a Google removeu o app da sua loja.

O Balouch Radio apareceu duas vezes no Google Play

Depois de removido do Google Play, o aplicativo de rádio malicioso estava disponível em lojas de terceiros e foi distribuído a partir de um site dedicado e por meio de um link promovido de uma conta do Instagram. O site foi desativado, mas a conta do Instagram dos cibercriminosos ainda contém o link. Além disso, um canal no YouTube também foi configurado com um vídeo que apresenta o app.

O site da Radio Balouch (à esquerda), conta do Instagram (centro) e o vídeo do YouTube (à direita)

Após a instalação, o componente de rádio da Internet é totalmente funcional. No entanto, a funcionalidade maliciosa adicionada permite que ele roube contatos, colete arquivos armazenados no dispositivo e envie mensagens SMS a partir do dispositivo afetado.

Quando em execução, os usuários escolhem o idioma de preferência. Na próxima etapa, o app começa a solicitar permissões como acesso aos arquivos no dispositivo e, em seguida, permissão para aceder aos contatos. Para camuflar as solicitações suspeitas, o app pede acesso aos contatos, mas caso o utilizador se recusar a conceder essa permissão, o aplicativo funcionará na mesma.

Solicitações de permissões para o aplicativo Radio Balouch

Uma vez configurado, o aplicativo abre  e inicia com opções de música e oferece a opção de registrar e fazer login. No entanto, os dados inseridos não importam, pois levarão o utilizador ao estado “conectado”. Esta etapa pode ter sido adicionada para obter dados sigilosos das vítimas e tentar entrar em outros serviços usando as senhas obtidas.