Contas bancárias alvo de burla com emulador para equipamentos Android

Atacantes recorrem a milhares de dispositivos Android emulados para ultrapassar sistemas de segurança e limpar milhões de euros de contas bancárias.

Investigadores da IBM detectaram uma campanha de ataque bastante sofisticada, que recorreu a algumas dezenas de emuladores para simularem mais de 16 mil smartphones pertencentes às vítimas, e realizarem operações bancárias em seu nome. Num dos casos, foram detectados mais de 8100 supostos smartphones que na realidade eram originários de um só emulador.

Estes emuladores permitem aos atacantes replicarem os smartphones das vítimas, incluindo não só o tipo de hardware (marca, modelo, tipo de CPU, RAM, etc.) como também localizações GPS falsas, por forma a ludibriarem os sistemas de segurança dos serviços bancários, que habitualmente poderiam bloquear o acesso no caso de se tratar de um acesso a partir de um novo equipamento numa localização desconhecida.

Estes ataques estão dependentes dos atacantes já terem conseguido aceder aos smarthones das vítimas para extraírem informação sobre os equipamentos, assim como o de lhes dar acesso aos SMS no caso das operações validadas com sistemas 2-factor.

Os processos de ataques estavam automatizados, permitindo desencadear estas operações com eficiência, e permitiram roubar milhões de euros de contas bancárias numa questão de poucos dias.

Os investigadores aproveitaram também a oportunidade para relembrar que os SMS já não podem / devem ser aceites como método de autenticação 2FA seguro (algo que já tem sido dito há anos!) e que os serviços bancários deveriam utilizar métodos verdadeiramente seguros.

Por Carlos Martins 16:21  Segurnaça  Sem comentários