Trojan batizado de Octagon usa páginas falsas e permissões de acessibilidade para espionar vítimas e continuar ativo mesmo depois de o celular ser reiniciado.
Uma nova ameaça digital para o sistema Android acendeu o alerta entre especialistas em cibersegurança nesta semana. Batizado de Octagon, o malware se disfarça de aplicativo oficial de alertas emergenciais para enganar as vítimas e conseguir permissões que dão controle quase total sobre o celular infectado. A descoberta reforça um padrão que vem se repetindo em campanhas maliciosas recentes: o uso de apps falsos que imitam serviços públicos ou institucionais como porta de entrada para roubo de dados sensíveis.
Como o golpe funciona
A infecção começa com o download de um arquivo de instalação em páginas de phishing, onde o aplicativo se apresenta como um serviço oficial de alertas e conduz a vítima por sete etapas até obter permissões consideradas perigosas pelo próprio sistema Android. Esse processo em várias etapas não é acidental: cada tela funciona como uma barreira a menos entre o usuário e a permissão que o golpista realmente quer, e como o app se apresenta como algo confiável, boa parte das vítimas segue o passo a passo sem desconfiar. boletimsec
Depois de instalado, o malware usa uma técnica pensada para dificultar sua detecção por ferramentas de segurança. Parte do código do primeiro componente fica criptografada dentro de um arquivo com extensão de fonte, sendo decodificada apenas no momento da execução, o que torna a análise estática do aplicativo muito mais difícil. Em seguida, o Octagon instala um segundo aplicativo dentro do celular, criando uma estrutura que se apoia em mais de uma peça para continuar funcionando mesmo que uma delas seja identificada e removida. boletimsec
Essa arquitetura em camadas é o que garante a persistência da ameaça no aparelho. Serviços de vigilância monitoram uns aos outros e reiniciam componentes que forem encerrados, enquanto receptores programados para o momento de inicialização reativam o malware toda vez que o celular é ligado novamente. O Octagon ainda cria uma conta falsa dentro do próprio sistema Android e agenda sincronizações a cada trinta minutos, mecanismo que serve para despertar o malware, buscar novas configurações e restabelecer contato com o servidor controlado pelos criminosos, caso a conexão tenha sido interrompida em algum momento. boletimsec
O que o malware consegue roubar
A parte mais preocupante da campanha está no abuso do Serviço de Acessibilidade do Android, recurso pensado originalmente para ajudar pessoas com deficiência a usar o celular com mais autonomia. Ao explorar essa permissão, o Octagon registra PINs, senhas e padrões usados para desbloquear o aparelho, armazenando os duzentos registros mais recentes no próprio dispositivo antes de enviá-los aos criminosos. Na prática, isso significa que qualquer senha digitada na tela, inclusive de aplicativos bancários, pode ser capturada sem que a vítima perceba. boletimsec
Além das credenciais de desbloqueio, o trojan coleta uma quantidade ampla de informações pessoais. Mensagens de SMS, contatos, histórico de chamadas e capturas de tela também são reunidos pelo malware, que ainda exibe páginas falsas por cima de outros aplicativos para induzir a vítima a digitar dados adicionais. Para completar o esquema, uma rede privada virtual controlada pelos próprios criminosos pode ser usada para interceptar ou redirecionar o tráfego de internet do celular infectado, o que amplia o controle sobre o que a vítima faz online. boletimsec
Embora a campanha tenha como alvo direto um serviço de alertas de um país do Oriente Médio, o funcionamento do Octagon segue um roteiro que já foi visto em outras famílias de malware para Android que circulam globalmente, inclusive no Brasil. Golpes que usam a promessa de segurança, notificações oficiais ou serviços públicos como isca costumam se espalhar rapidamente por grupos de mensagens e redes sociais, adaptando o mesmo esquema técnico para diferentes países e públicos.
Para se proteger desse tipo de ameaça, especialistas recomendam evitar a instalação de aplicativos fora da Google Play Store, mesmo quando o link chega por um canal aparentemente confiável, como email ou mensagem de um contato conhecido. Vale desconfiar de qualquer app que peça acesso ao Serviço de Acessibilidade sem uma justificativa clara relacionada à sua função principal, já que esse tipo de permissão dá controle amplo sobre o que acontece na tela do celular. Manter o sistema Android e os aplicativos sempre atualizados também reduz a chance de exploração de falhas já conhecidas pelos desenvolvedores.
O caso do Octagon reforça uma tendência que cresce junto com o número de brasileiros que usam o celular para tarefas sensíveis, como acesso a bancos e documentos pessoais: golpistas continuam investindo em disfarces cada vez mais convincentes, o que torna a atenção do usuário a primeira e mais importante linha de defesa contra esse tipo de ataque.
Fontes:
BoletimSec: Malware cria serviços de vigilância para permanecer ativo no Android
