📰 Informação fresquinha chegando para você!
Sua opinião é importante: leia e participe!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Pesquisadores de segurança cibernética divulgaram detalhes de um novo trojan bancário para Android chamado StreamRat, que foi promovido para usuários de língua espanhola por meio de uma campanha falsa de streaming de televisão no Meta e pode dar às operadoras controle quase completo dos dispositivos infectados.
ThreatFabric disse que o anúncio da campanha se concentrou na Espanha e atingiu cerca de 570.950 contas Meta na União Europeia que o viram pelo menos uma vez, com totais de dispositivos infectados e vítimas confirmadas permanecendo não relatados.
O controle do dispositivo exige que a vítima conceda uma sucessão de controles após fazer o sideload do pacote Android (APK). Os usuários devem interromper a instalação quando um aplicativo de streaming solicitar controles do sistema não relacionados ao streaming.
"Não há dúvidas de que o StreamRat é uma ameaça nova e tecnicamente sofisticada, desenvolvida por indivíduos com experiência anterior no ecossistema de malware Android", disse ThreatFabric em sua análise do StreamRat.
O ThreatFabric não atribuiu a campanha a um ator de ameaça nomeado. Depois que o acesso de acessibilidade estiver ativado, os operadores poderão capturar as teclas digitadas, exibir sobreposições de roubo de credenciais, inspecionar a interface visível e controlar o dispositivo remotamente.
A campanha começa quando a atração da mídia social direciona um usuário do Android para um site especialmente criado. O site verifica o sistema operacional do visitante. Ele exibe seu botão de download para dispositivos Android.
O visitante pode então fazer download de um arquivo chamado app.apk. A vítima inicia o APK. O conta-gotas pede para se tornar o aplicativo Home padrão do dispositivo, que retorna a vítima à sua interface sempre que o botão Home é pressionado.
Antes de buscar a carga final, o dropper solicita permissão para estabelecer uma conexão VPN. Depois de aprovada, a VPN roteia o tráfego do dispositivo para uma interface não funcional, excluindo o próprio conta-gotas.
A página principal do dropper baixa a carga do StreamRat para o diretório público de downloads como update_{timestamp}.apk. Em seguida, o conta-gotas pede permissão para instalar aplicativos de fontes desconhecidas.
Após a aprovação, ele instala a carga através do mecanismo de instalação de pacotes do Android. StreamRat é lançado. A carga solicita acesso de acessibilidade. Depois que o usuário concede essa permissão, o malware se conecta ao seu servidor de comando e controle (C2).
A interface VPN não encaminha nenhum tráfego roteado, fazendo com que outros aplicativos percam a conectividade com a Internet durante a instalação. O dropper desliga a VPN após a execução da carga, permitindo que o StreamRat se comunique com seu servidor C2.
A ThreatFabric avaliou que a interrupção pode reduzir a reputação online e as verificações de análise de código. O Google Play Protect mantém a detecção offline de aplicativos potencialmente prejudiciais conhecidos, limitando o efeito da técnica no serviço.
Para uma captura de tela visível, StreamRat invoca a interface de programação de aplicativos (API) MediaProjection do Android, que exibe uma caixa de diálogo de consentimento e normalmente é identificada por um indicador de compartilhamento de tela.
O malware pode usar o Accessibility para interagir com a caixa de diálogo de consentimento depois que a vítima concede essa permissão. Um segundo modo usa o método takeScreenshot() de acessibilidade para capturar a tela fora do indicador MediaProjection.
ThreatFabric disse que StreamRat também foi promovido através do TikTok. A evidência pública específica do relatório do TikTok consistia no código da página de destino que pode identificar o TikTok como o aplicativo de referência. Não forneceu nenhum registro de anúncio TikTok ou número de alcance.
Os mesmos banners provavelmente foram exibidos no Facebook e Instagram, enquanto o posicionamento principal do Meta permaneceu indeterminado.
A aplicabilidade está vinculada ao comportamento da instalação e às permissões solicitadas, pois nenhuma versão do Android foi publicada.
A empresa compartilhou os seguintes indicadores de comprometimento (IoCs) -
SHA-256 - e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c
Pacote - io.base.one887
Aplicativo - StrεαmTV Pro
SHA-256 - ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3
Pacote - io.meat.hint
Aplicativo - Sistema de vídeo
IP C2 - 45.147.28[.]59
IP C2 - 193.32.2[.]245
A campanha Meta começou em 11 de junho de 2026. Terminou em 3 de julho de 2026. A campanha foi identificada no final de julho de 2026. Os resultados foram publicados em 2 de setembro de 2026.
A carga do StreamRat veio de uma conta do GitHub que o ThreatFabric vinculou a uma campanha Mirax anterior. O conta-gotas se assemelhava muito ao usado naquela operação.
"Os droppers são hospedados usando versões do GitHub, com diferentes links de backup e atualizações diárias de pacotes", disse Cleafy em seu relatório Mirax.
ThreatFabric disse que o anúncio da campanha se concentrou na Espanha e atingiu cerca de 570.950 contas Meta na União Europeia que o viram pelo menos uma vez, com totais de dispositivos infectados e vítimas confirmadas permanecendo não relatados.
O controle do dispositivo exige que a vítima conceda uma sucessão de controles após fazer o sideload do pacote Android (APK). Os usuários devem interromper a instalação quando um aplicativo de streaming solicitar controles do sistema não relacionados ao streaming.
"Não há dúvidas de que o StreamRat é uma ameaça nova e tecnicamente sofisticada, desenvolvida por indivíduos com experiência anterior no ecossistema de malware Android", disse ThreatFabric em sua análise do StreamRat.
O ThreatFabric não atribuiu a campanha a um ator de ameaça nomeado. Depois que o acesso de acessibilidade estiver ativado, os operadores poderão capturar as teclas digitadas, exibir sobreposições de roubo de credenciais, inspecionar a interface visível e controlar o dispositivo remotamente.
A campanha começa quando a atração da mídia social direciona um usuário do Android para um site especialmente criado. O site verifica o sistema operacional do visitante. Ele exibe seu botão de download para dispositivos Android.
O visitante pode então fazer download de um arquivo chamado app.apk. A vítima inicia o APK. O conta-gotas pede para se tornar o aplicativo Home padrão do dispositivo, que retorna a vítima à sua interface sempre que o botão Home é pressionado.
Antes de buscar a carga final, o dropper solicita permissão para estabelecer uma conexão VPN. Depois de aprovada, a VPN roteia o tráfego do dispositivo para uma interface não funcional, excluindo o próprio conta-gotas.
A página principal do dropper baixa a carga do StreamRat para o diretório público de downloads como update_{timestamp}.apk. Em seguida, o conta-gotas pede permissão para instalar aplicativos de fontes desconhecidas.
Após a aprovação, ele instala a carga através do mecanismo de instalação de pacotes do Android. StreamRat é lançado. A carga solicita acesso de acessibilidade. Depois que o usuário concede essa permissão, o malware se conecta ao seu servidor de comando e controle (C2).
A interface VPN não encaminha nenhum tráfego roteado, fazendo com que outros aplicativos percam a conectividade com a Internet durante a instalação. O dropper desliga a VPN após a execução da carga, permitindo que o StreamRat se comunique com seu servidor C2.
A ThreatFabric avaliou que a interrupção pode reduzir a reputação online e as verificações de análise de código. O Google Play Protect mantém a detecção offline de aplicativos potencialmente prejudiciais conhecidos, limitando o efeito da técnica no serviço.
Para uma captura de tela visível, StreamRat invoca a interface de programação de aplicativos (API) MediaProjection do Android, que exibe uma caixa de diálogo de consentimento e normalmente é identificada por um indicador de compartilhamento de tela.
O malware pode usar o Accessibility para interagir com a caixa de diálogo de consentimento depois que a vítima concede essa permissão. Um segundo modo usa o método takeScreenshot() de acessibilidade para capturar a tela fora do indicador MediaProjection.
ThreatFabric disse que StreamRat também foi promovido através do TikTok. A evidência pública específica do relatório do TikTok consistia no código da página de destino que pode identificar o TikTok como o aplicativo de referência. Não forneceu nenhum registro de anúncio TikTok ou número de alcance.
Os mesmos banners provavelmente foram exibidos no Facebook e Instagram, enquanto o posicionamento principal do Meta permaneceu indeterminado.
A aplicabilidade está vinculada ao comportamento da instalação e às permissões solicitadas, pois nenhuma versão do Android foi publicada.
A empresa compartilhou os seguintes indicadores de comprometimento (IoCs) -
SHA-256 - e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c
Pacote - io.base.one887
Aplicativo - StrεαmTV Pro
SHA-256 - ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3
Pacote - io.meat.hint
Aplicativo - Sistema de vídeo
IP C2 - 45.147.28[.]59
IP C2 - 193.32.2[.]245
A campanha Meta começou em 11 de junho de 2026. Terminou em 3 de julho de 2026. A campanha foi identificada no final de julho de 2026. Os resultados foram publicados em 2 de setembro de 2026.
A carga do StreamRat veio de uma conta do GitHub que o ThreatFabric vinculou a uma campanha Mirax anterior. O conta-gotas se assemelhava muito ao usado naquela operação.
"Os droppers são hospedados usando versões do GitHub, com diferentes links de backup e atualizações diárias de pacotes", disse Cleafy em seu relatório Mirax.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #meta #ads #push #streamrat #android #trojan #que #pode #obter #controle #quase #completo #do #dispositivo
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário