Um malware para Android que monitora mensagens de números específicos enviados para dispositivos infectados já foram vistos com alguma frequencia. Essas ameaças tipicamente interceptam mensagens de planos com pacote de dados, normalmente mais caros, para evitar que usuários suspeitem da infecção. O malware para Android que encontramos recentemente utiliza uma abordagem diferente, monitorando certas palavras-chave em mensagens de texto recebidas de dispositivos infectados.

O suposto malware é uma versão "trojanizada" do jogo chamado Coin Pirates, que, de acordo com nossa pesquisa, foi hospedado em um mercado de aplicativos chinês. Da última vez que verificamos, a versão "trojanizada" foi retirada do mercado.

Como boa parte dos malwares para Android, este aplicativo "trojanizado", que foi identificado como ANDROIDOS_PIRATES.A, solicita que usuários deem mais permissões do que a versão oficial, assim executando um maior número de rotinas do que o aplicativo original.

Instalação

Como parte da rotina de instalação, o ANDROIDOS_PIRATES.A registra três receptores - BootReceiver, AlarmReceiver e SMSReceiver. BootReceiver e AlarmReceiver são responsáveis pela inicialização do serviço MonitorService, que permite que o malware se comunique com seu servidor malicioso. O SMSReceiver, por outro lado, é executado toda vez que um dispositivo infectado recebe uma mensagem de texto.

Roubo de Informação

Uma vez que os receptores são instalados, o ANDROIDOS_PIRATES.A colhe a seguinte informação de dispositivos infectados e as envia ao servidor malicioso:

• • Modelo do dispositivo
• • Versão SDK
• • Número IMEI
• • Número IMSI

Até este momento, não conseguimos acessar o servidor, portanto recorremos à análise do código.

O código sugere que se o servidor responde ao dispositivo com a string "sendsms", o ANDROIDOS_PIRATES.A enviará uma mensagem de texto que contém o número IMEI e o modelo do dispositivo para um dos seguintes números:

• • 13521419442
• • 13552040604
• • 13661258744
• • 13521273944
• • 13552040894
• • 13520931794
• • 13520234741
• • 13520234194

Note que os números acima não são de contas com pacotes de dados. Ao verificar a internet, verificamos que esses números foram possivelmente utilizados por outros malwares.

Monitoramento de SMS

Além disso, o malware se conecta ao seu servidor para baixar dados para popular uma base de dados instada no dispositivo infectado. Essa base de dados contém uma tabela chamada "blogconfig" com quatro campos: BlogType, KeyWords, Charging e IsConfirm.

O campo KeyWords contém dados que o malware buscará sempre que o dispositivo infectado recebe uma mensagem de texto pelo SMSReceiver. Quando o malware encontra a ocorrência, os dados são deletados ou enviados ao servidor, de acordo com o valor no campo IsConfirm.

Este é um truque novo. Como mencionamos antes, malware mais antigo direcionado a SMS no Android usa o número que origina a mensagem para filtrar mensagens de texto. O malware verifica palavras-chave dentro do corpo da mensagem, resultando em uma abordagem mais direcionada. Além disso, o autor do malware também pode atualizar os itens do campo KeyWords.

Outras funções deste malware incluem o envio de mensagens de texto para números específicos, assim como adicionar favoritos ao navegador do dispositivo. O funcionamento específico das mensagens de texto e dos favoritos dependem da resposta do servidor.

Usuários podem verificar se foram contaminados por esse malware acessando Settings > Applications > Running Services e verificando se existe o MonitorService. Usuários infectados podem manualmente remover este malware acessando Settings > Applications > Manage Applications e desinstalando o aplicativo malicioso.

Para maiores informações sobre como manter seu dispositivo Android à salvo de aplicativos como este, veja nosso relatório: 5 passos para garantir a segurança de seu smarthphone Android (em inglês).