A segurança do Android sofre sempre que novas formas de ataques surgem no universo da tecnologia. Uma nova ameaça está a colocar em causa as contas do WhatsApp e a abrir um novo vetor de ataque. O resultado, desta vez, deixa a conta do utilizador do WhatsApp no Android pode estar em risco.
Conta do WhatsApp no Android fica em risco
Um novo spyware para Android chamado Morpheus está a sequestrar contas de WhatsApp de utilizadores através de aplicações de atualização falsas e em colaboração com operadores de telecomunicações. Um relatório publicado a 24 de abril pela organização italiana de direitos digitais Osservatorio Nessuno revela como opera esta perigosa cadeia de ataques.
O processo de ataque começa com a operadora de telecomunicações a interromper intencionalmente os dados móveis do alvo. O utilizador recebe então uma mensagem SMS que o instrui a restabelecer a ligação e atualizar o telefone. Ao contrário de sistemas sofisticados como o Pegasus, o Morpheus baseia-se em métodos de engenharia social, persuadindo o utilizador a instalar ele próprio a aplicação maliciosa.
Uma vez instalada, a aplicação abusa das permissões de acessibilidade do Android para ler o conteúdo do ecrã e interagir com outras aplicações. O software imita a interface do WhatsApp ao exibir um ecrã falso de atualização do sistema e reiniciar o dispositivo. Este ecrã falso, que solicita a verificação biométrica do utilizador, permite que os atacantes adicionem um novo dispositivo a uma conta do WhatsApp.
Morpheus coloca em causa segurança do utilizador
Esta autenticação biométrica concede aos atacantes acesso total a todas as mensagens e contactos da vítima. A presença de excertos em italiano e de referências culturais no código do software fornece pistas importantes sobre a origem do ataque. Os investigadores estão a ligar o spyware Morpheus à empresa italiana de tecnologia IPS, conhecida por fornecer tecnologias legais de interceção telefónica a agências de inteligência e de lei há mais de 30 anos.
Acredita-se que o spyware em questão tem como alvo específico os ativistas políticos. A IPS foi adicionada a uma lista controversa que, nos últimos anos, incluiu fornecedores italianos de tecnologia de vigilância como a CY4GATE, a eSurv, a RCS Lab e a SIO. O Morpheus não é distribuído pela Google Play Store e não pode ser instalado automaticamente nos dispositivos.
O ataque ocorre inteiramente quando o utilizador descarrega um ficheiro APK de fontes não oficiais. É necessário ter especial cuidado com as mensagens SMS relacionadas com atualizações que chegam em simultâneo com interrupções repentinas de dados móveis. Nos dispositivos Android, por motivos de segurança, é fundamental não conceder permissões de acesso a aplicações instaladas através de links recebidos por SMS.