Segurança Cibernética

DroidJack não é o único app espião: o Avast descobriu que o OmniRat está sendo utilizado por cibercriminosos para controlar remotamente os aparelhos móveis.

Lisandro Carmona de Souza, 9 Dezembro 2015

DroidJack não é o único app espião: o Avast descobriu que o OmniRat está sendo utilizado por cibercriminosos para controlar remotamente os aparelhos móveis.

Há mais de um aplicativo que espiona você


A equipe do Avast descobriu o OmniRat, uma programa semelhante ao DroidJack. O DroidJack é um programa que facilita a espionagem remota e, recentemente, se tornou notícia porque as agências europeias prenderam e revistaram as casas dos suspeitos de participar de crimes internacionais através de malwares.


O OmniRat e o DroidJack são RATs (remote administration tools, ferramentas de administração remota) que permitem que você controle remotamente qualquer aparelho Android. O OmniRat também lhe dá o controle de qualquer aparelho Windows, Linux ou Mac. Quando o programa é instalado no aparelho alvo, você obtém o controle remoto completo do aparelho.
No seu site, o OmniRat lista todas as coisas que você pode fazer em um aparelho Android, incluindo: obter informações detalhadas sobre os serviços e processos sendo executados no aparelho, ver e apagar o histórico de navegação, fazer chamadas ou enviar SMSs para qualquer número, gravar áudio, executar comandos no aparelho e muito mais.


OmniRat


Como o DroidJack, o OmniRat pode ser comprador online, mas comparado com o DroidJack, é uma pechincha. Enquanto o DroidJack custa 210 dólares, o OmniRat custa apenas 25f a 50 dólares, dependendo de que tipo de aparelho você deseja controlar.


Você pode estar se perguntando: "por que um programa assim está sendo vendido na internet?". De acordo com o criador do DroidJack, Sanjeevi, "o Droidjack é uma ferramenta de controle remoto para os pais", mas a Europol deixou muito claro que utilizar um programa como DroidJack para objetivos maliciosos pode ter consequências graves. Uma investigação da Europol e da Eurojust, junto com autoridades americanas, prendeu usuários do DroidJack.


A variante OmniRat espalhada na internet


Uma versão personalizada do OmniRat está sendo espalhada através de engenharia social. Um usuário de um fórum de tecnologia alemão, Techboard-online, descreve como o RAT se espalhou para o seu aparelho Android através de SMSs. Depois de pesquisar sobre o incidente, concluímos que uma variante do OmniRat está sendo utilizada.


O autor da postagem recebeu um SMS dizendo que recebeu um MMS de outra pessoa: "Este MMS não pode ser enviado diretamente a você, devido à falha StageFright do Android. Acesse o MMS em 3 dias [bitly link] com o seu telefone e digite o código PIN [código]“. Quando o link é aberto, um site é carregado e você deve digitar o código do SMS e o seu número de telefone.


Quando você digita o seu número de telefone e o código, um aplicativo, mms-einst8923, é baixado no telefone dizendo que as configurações MMS foram modificadas com sucesso e carrega um ícone, chamado "Obter MMS" no seu telefone.





MMS Empfang app widget MMSempfang


Quando o ícone é aberto pela vítima, o mms-einst8923.apk extrai o OmniRat que está codificado dentro do mms-einst8923.apk. No exemplo descrito no fórum Techboard-online, uma versão personalizada do OmniRat é extraída.


O arquivo OmniRat solicita que os usuários aceitem e concedam muitas permissões ao OmniRat, incluindo editar mensagens de texto, ler logs de chamadas e contatos, modificar ou excluir o conteúdo do cartão. Todas estas permissões podem parecer suspeitas e você pode estar pensando, "por que alguém iria dar tanto acesso a um aplicativo?", mas muitos confiam e a maioria dos aplicativos baixados na loja Google Play solicitam muitas das mesmas permissões. A diferença essencial é a fonte dos aplicativos. Sempre recomendamos que os usuários leiam as permissões dos aplicativos com cuidado. Contudo, quando um aplicativo é baixado diretamente da Google Play e solicita estes acessos, provavelmente não seja um aplicativo malicioso. Se, como neste caso, o aplicativo for baixado de uma fonte desconhecida, os usuários devem ficar muito alertas às permissões que são solicitadas.


com.android.engine com.android.engine 2


Assim que é instalado, o OmniRat permite o hacker tenha acesso administrativo remoto completo ao aparelho. Mesmo que a vítima exclua o ícone original "MMS Retrieve" instalado com o mms-einst8923, o OmniRat permanece no aparelho infectado. A vítima não fica sabendo que o seu aparelho está sendo controlado por outra pessoa e que cada movimento que fazem no seu aparelho está sendo gravado e as informações estão sendo enviadas para um servidor.


Além disso, uma vez que os cibercriminosos ganham o controle da lista de contatos de um aparelho, eles podem facilmente disseminar o malware a outras pessoas. Dentro desta variante do OmniRat há uma função que envia vários SMSs. O que torna isto especialmente perigoso é que o SMS enviado via OmniRat do aparelho infectado irá aparecer como sendo de um contato conhecido e confiável no aparelho dos seus contatos, o que aumenta as chances de que sigam o link e infectem o seu próprio aparelho.



Sabemos que os dados coletados por esta versão personalizada do OmniRat está atingiu o alemão da postagem do fórum Techboard foi enviado de um servidor russo, devido aos comandos e controles utilizados no tráfego de dados.


RussiandomainO sufixo ".ru" do endereço do servidor nos mostra que os dados estão sendo enviados secretamente a um servidor russo



A imagem à esquerda foi feita do site OmniRat e mostra que os dados de áudio estão sendo roubadas do aparelho da vítima. A imagem à diretia é de uma versão personalizada do OmniRat e mostra a semelhança dos dados (e da ordem) que foram coletados e enviados secretamente a um servidor russo.A imagem à esquerda foi feita do site OmniRat e mostra que os dados de áudio estão sendo roubadas do aparelho da vítima. A imagem à diretia é de uma versão personalizada do OmniRat e mostra a semelhança dos dados (e da ordem) que foram coletados e enviados secretamente a um servidor russo



Na imagem acima, podemos ver todas as classes dex do segundo arquivo apk que coleta várias informações sobre o aparelho e as envia secretamente ao servidor.Na imagem acima, podemos ver todas as classes dex do segundo arquivo apk que coleta várias informações sobre o aparelho e as envia secretamente ao servidor



Como se proteger

  • Verifique se você tem um antivírus instalado no seu smartphone que detecte malwares como o OmniRat. O Avast detecta o OmniRat (Android:OmniRat-A [Trj]).
  • Não abra nenhum link enviado de fontes não confiáveis. Se um número ou endereço de email desconhecidos enviar um link a você, não abra o link.
  • Não baixe aplicativos de fontes desconhecidas no seu aparelho móvel. Somente baixe aplicativos de fontes confiáveis como a Google Play Store ou a Apple App Store.




Siga o Avast no Facebook, Twitter, YouTube e Google+, onde a gente mantém você atualizado todos os dias com notícias sobre segurança digital.