Um trojan bancário com mais de 140 aplicativos no radar
Pesquisadores da Zimperium detalharam uma nova versão do trojan bancário para Android conhecido como ToxicPanda, identificada como 2.0, com capacidade de mirar mais de 140 aplicativos de bancos e de criptomoedas, segundo reportagem da Infosecurity Magazine. Trojan bancário (banking trojan, programa malicioso que se disfarça de aplicativo legítimo para roubar o acesso a contas financeiras) é uma categoria conhecida há anos, e o que chama atenção nessa análise é a amplitude da lista de alvos combinada com a forma como a praga se comporta dentro do aparelho.
De acordo com a publicação, o malware abusa dos recursos de acessibilidade do sistema, aqueles criados para apoiar pessoas com deficiência, e permite que o operador remoto interaja com a tela como se fosse o próprio usuário. Como as ações partem de uma sessão já autenticada, verificações antifraude tradicionais e códigos enviados por SMS perdem parte da eficácia.
Fica então uma pergunta direta para quem decide: quantos aparelhos com acesso ao internet banking da sua empresa estão, neste momento, fora de qualquer política de segurança corporativa?
O que essa notícia significa para a sua operação
Em empresas de 5 a 5.000 funcionários, o acesso bancário corporativo raramente vive num servidor bem protegido, porque ele costuma viver no bolso, no celular do sócio, no aparelho de quem responde pelo financeiro ou no telefone do diretor que autoriza as transferências. Esses dispositivos costumam ser pessoais, misturam aplicativos de trabalho e de família, e em muitos casos nunca passaram por qualquer inventário de TI.
Três brechas e três respostas práticas
A parte animadora dessa história é que ataques desse tipo dependem de condições bem específicas, e cada uma delas tem contramedida madura. A primeira brecha é o dispositivo sem gestão, e ela se fecha ao trazer os aparelhos que acessam sistemas financeiros para dentro de uma política formal, com inventário atualizado, exigência de bloqueio de tela, controle sobre instalação de aplicativos vindos de fontes desconhecidas e capacidade de apagar dados remotamente em caso de perda ou suspeita.
A segunda brecha é a ausência de detecção comportamental. EDR (Endpoint Detection and Response, detecção e resposta em endpoints) estendido a dispositivos móveis observa o comportamento dos aplicativos, e não apenas a assinatura de arquivos já catalogados, o que permite sinalizar o uso incomum de permissões de acessibilidade ou a instalação de um pacote fora das lojas oficiais antes da primeira transação. Combinado a monitoramento proativo contínuo, esse conjunto encurta a distância entre a infecção e a resposta, algo que uma operação de cibersegurança gerenciada entrega de forma integrada.
A terceira brecha é o segundo fator frágil. MFA (Multi-Factor Authentication, autenticação multifator) baseada em aplicativo autenticador ou em chave física de segurança substitui o código por SMS, que pode ser lido ou redirecionado. A gestão de patches mantém sistema operacional e aplicativos corrigidos, e o suporte remoto permite isolar um aparelho suspeito e reemitir credenciais em minutos, em vez de dias. Para saber por onde começar, um diagnóstico de maturidade em cibersegurança ajuda a priorizar o que gera resultado mais rápido.
Se o celular que aprova os pagamentos da sua empresa fosse comprometido, quanto tempo levaria até alguém perceber?
Para boa parte das organizações desse porte, a resposta honesta é que a descoberta viria apenas na conciliação bancária, quando o dinheiro já saiu e a janela de contestação está apertada. Encurtar esse intervalo, felizmente, não exige um projeto de dois anos: um inventário dos dispositivos que acessam sistemas financeiros, EDR ativo nesses endpoints, MFA por aplicativo autenticador ou chave física, gestão de patches em rotina e monitoramento proativo contínuo formam um pacote que costuma ser implantado em poucas semanas.
Vale somar a isso backup testado com restauração validada e um plano de resposta escrito, porque quem sabe exatamente o que fazer nos primeiros minutos preserva muito mais caixa e credibilidade. Segurança financeira digital nasce de decisões pequenas tomadas em sequência, e cada uma delas deixa a sua operação visivelmente mais previsível.
Perguntas frequentes
Um trojan bancário no celular consegue burlar o código enviado por SMS?
Sim, em boa parte dos casos. Malwares desse tipo operam dentro do aparelho já autenticado e podem interceptar ou ler mensagens recebidas, o que reduz a eficácia do SMS como segundo fator. A recomendação prática é migrar para autenticação multifator com aplicativo autenticador ou chave física de segurança, que não dependem da rede de mensagens.
Celulares pessoais usados para acessar o banco da empresa precisam de gestão de TI?
Sim, sempre que acessam sistemas financeiros ou dados corporativos. Esses aparelhos podem entrar em uma política de segurança com inventário, bloqueio de tela obrigatório, controle de instalação de aplicativos e apagamento remoto, sem interferir no uso pessoal. O acordo de uso escrito é o que torna o modelo confortável para as duas partes.
Quais capacidades de TI gerenciada reduzem o risco de fraude bancária corporativa?
As principais são EDR estendido a endpoints móveis, autenticação multifator forte, gestão de patches em rotina, monitoramento proativo contínuo, backup testado e treinamento periódico das equipes financeiras. Somadas a controles de processo, como aprovação dupla de pagamentos e trilhas de auditoria, elas atacam tanto a via técnica quanto a via humana da fraude.
Referências
- Infosecurity Magazine , Updated ToxicPanda Trojan Targets 140+ Banking and Crypto Apps
- Dark Reading , Grandoreiro Resurfaces in New Campaign
- KrebsOnSecurity , Who's Tracking You? Use This New Service to Find Out
Se quiser mapear quais dispositivos e acessos financeiros da sua operação ainda estão sem cobertura, a Zamak conduz um Diagnóstico Estratégico de TI, Sem Compromisso.