Transmissão: YouTube

Uma nova variante do malware NGate vem sendo empregada em ataques direcionados a usuários de Android no Brasil, segundo relatório da empresa de segurança ESET. Os invasores adulteraram o aplicativo legítimo HandyPay, que serve para compartilhamento via NFC, com o objetivo de capturar dados de cartões de pagamento e permitir saques ou transações não autorizadas.

Quem e quando

A ESET identificou o NGate em 2024, mas aponta que o grupo por trás da campanha atua na República Tcheca desde novembro de 2023. Em março de 2024 os criminosos aperfeiçoaram a atuação com uma versão para Android do malware e iniciaram operações na América Latina em novembro de 2024.

Como funciona o ataque

Os pesquisadores informam que a distribuição no Brasil acontece por dois vetores hospedados no mesmo domínio. O primeiro é uma página que imita a loteria do Estado do Rio de Janeiro (Loterj), apresentando um jogo de raspadinha em que a vítima “ganha” sempre R$ 20.000. Para resgatar o suposto prêmio, o usuário é direcionado ao WhatsApp com uma mensagem já preenchida que é enviada a um perfil que usa a imagem da Caixa Econômica Federal.

O segundo vetor é uma página falsa que reproduz a Google Play Store, oferecendo um app chamado “Proteção Cartão”. Nessa página o usuário é orientado a baixar manualmente um arquivo APK, que instala a versão falsa do HandyPay e infecta o dispositivo.

O que o malware faz

Após a instalação, o aplicativo solicita ser definido como meio de pagamento padrão — uma função presente no HandyPay original — o que reduz suspeitas. Em seguida, a vítima é instruída a digitar o PIN e aproximar o cartão do celular com NFC ativado. Durante esse processo, o PIN é coletado por um campo de texto malicioso e enviado via HTTP ao servidor de comando e controle dos criminosos.

Imagem: Divulgação

Os dados lidos via NFC também são encaminhados aos atacantes por meio da própria estrutura do aplicativo adulterado. A investigação da ESET revela ainda que o e-mail de um dos criminosos está embutido no código, de modo a direcionar o tráfego de informações para ele.

Uso de IA e custo da operação

Os pesquisadores encontraram emojis nos logs do malware, elemento que levou à hipótese de uso de inteligência artificial generativa no desenvolvimento do código — o que poderia reduzir a barreira técnica para a criação de ameaças. A ESET destaca que os atacantes preferiram modificar um app legítimo em vez de contratar serviços de “malware como serviço” (MaaS), possivelmente por questão de custo, já que soluções MaaS podem custar centenas de dólares por mês.





A ESET informou que a versão maliciosa nunca foi publicada na Google Play e que as descobertas foram repassadas ao Google e aos desenvolvedores do aplicativo original.

Com informações de Tecmundo