455 aplicações Android comprometidas! Criminosos invadiram a Play Store

Uma enorme operação de fraude publicitária dirigida aos utilizadores do Android foi descoberta na Play Store. Apelidada de "Trapdoor", esta campanha utiliza 455 aplicações maliciosas, descarregadas mais de 24 milhões de vezes por vítimas desprevenidas.

455 aplicações Android comprometidas

Investigadores da Human Security descobriram uma operação de fraude publicitária em grande escala no Android. A operação, apelidada de "Trapdoor" pelos investigadores, baseia-se inteiramente em armadilhas escondidas em aplicações aparentemente inofensivas para smartphones. Estas aplicações fraudulentas e maliciosas conseguiram infiltrar-se na Play Store, a loja oficial de aplicações do Google.

As aplicações infetadas disfarçam-se de utilitários perfeitamente comuns, como simples leitores de PDF. Uma vez instalados, estes aplicativos comportam-se inicialmente normalmente, para dissipar as suspeitas das vítimas. Não solicitam permissões excessivas para funcionar e não exibem nenhum comportamento suspeito óbvio. Por isso, é impossível detetar o golpe à primeira vista.

Criminosos invadiram a Play Store

Após um certo período, a aplicação infetada exibirá um pop-up no ecrã. Esta janela intrusiva irá solicitar ao utilizador que instale uma atualização, supostamente para melhorar a aplicação. É esta atualização falsa que desencadeia a operação fraudulenta. A atualização falsa leva, na verdade, à instalação de uma segunda aplicação no smartphone. Esta segunda aplicação exibe rapidamente páginas da web usando o WebView.

Este componente do Android permite que as páginas web sejam exibidas dentro da aplicação, sem a necessidade de um browser. Estas páginas web abrem em segundo plano, permanecendo invisíveis para o utilizador. A aplicação liga-se então a sites controlados pelos burlões, que alojam jogos ou páginas repletas de anúncios. Esta manobra dá a impressão de que o utilizador visitou essas páginas e se deparou com os anúncios.

Mostrar publicidade para ganhar

Desta forma, os burlões geram receita publicitária rapidamente. Enquanto isso, os anunciantes pagam por anúncios que não são visíveis para os utilizadores da internet. Esta é a essência da fraude publicitária. Segundo os investigadores, a fraude gerou até 480 milhões de pedidos de anúncios por dia no seu auge. Estes são enviados para as plataformas de publicidade sempre que um espaço publicitário está disponível.

Os criminosos geraram "receita significativa", de acordo com a Human Security. Para promover estas aplicações maliciosas, distribuíram anúncios online em massa. Os investigadores descrevem-no como um ciclo "autossustentável", no qual os lucros da fraude são utilizados para financiar novas campanhas publicitárias. Alertada pelos investigadores, a Google removeu todas as aplicações maliciosas da sua Play Store.