A ESET, empresa de detecção proativa de ameaças, alerta que, usando a popularidade do Clubhouse, os cibercriminosos distribuem um aplicativo falso com malware que visa roubar informações de login dos usuários em uma ampla variedade de serviços.
Fingindo ser a versão Android do Clubhouse, o aplicativo de conteúdo em formato de áudio que só é acessado por convite e cuja versão existe apenas para iPhone, contém um pacote malicioso que é distribuído a partir de um site que tem a aparência legítima do Clubhouse. O Trojan tem a capacidade de roubar os detalhes de login das vítimas em pelo menos 458 serviços online.
CONTEÚDO RELACIONADO – Clubhouse: falha de segurança permitiu transmitir áudios fora da plataforma
A lista de serviços para os quais pode roubar credenciais de acesso inclui aplicativos de troca de criptomoedas, aplicativos financeiros e de compras, bem como mídias sociais e plataformas de mensagens. Para começar, serviços como Twitter, WhatsApp, Facebook, Amazon, Netflix, Outlook, eBay, Coinbase, Plus500, Cash App, BBVA e Lloyds Bank estão presentes na lista.
O site parece real, segundo a ESET. No entanto, assim que o usuário clicar em ‘Adquira no Google Play’, o aplicativo será baixado automaticamente para o dispositivo do usuário.
A ESET avisa que, antes mesmo de pressionar o botão para acessar o aplicativo, existem alguns indícios de que algo está errado. Por exemplo, a conexão não é feita de forma segura (HTTP em vez de HTTPS) ou o site usa o domínio de nível superior “.mobi” (TLD) em vez de “.com”. conforme usado pelo aplicativo legítimo. Outro sinal é que, embora o Clubhouse esteja planejando lançar a versão Android de seu aplicativo em breve, a plataforma ainda está disponível apenas para iPhones.
Depois que a vítima cai na armadilha, baixa e instala o BlackRock, o Trojan tenta roubar suas credenciais usando um ataque de sobreposição. Em outras palavras, toda vez que um usuário inicia um aplicativo de um serviço listado em seu telefone, o malware cria uma tela que se sobrepõe ao aplicativo original e solicita que o usuário faça login. Mas, em vez de entrar no serviço, o usuário terá inadvertidamente entregue suas credenciais aos cibercriminosos.
Usar a autenticação de dois fatores (2FA) usando SMS para evitar que alguém ganhe acesso às contas não ajudaria necessariamente neste caso, pois o malware também pode interceptar mensagens de texto. O aplicativo malicioso também solicita que a vítima habilite os serviços de acessibilidade, permitindo efetivamente que os criminosos assumam o controle do dispositivo.
Participe das comunidades IPNews no Facebook, LinkedIn e Twitter.
