«Cidadão, atualize-se»: Análise da Campanha Maliciosa Falcon

A mensagem "Atualize o aplicativo" é comum para a maioria dos usuários, mas para hackers, é um dos métodos mais eficazes para obter controle sobre um dispositivo. Neste artigo, vamos analisar uma campanha maliciosa que começou com um arquivo APK disfarçado de serviço russo. O que inicialmente parecia ser apenas mais uma variação de um trojan bancário, revelou-se muito mais interessante em uma análise mais detalhada.

O Início da Análise Reversa

A análise de um arquivo APK, neste caso, o "mir-pay.apk", levantou suspeitas iniciais. A detecção de "Formato adulterado" e o veredito "apk.tampered" indicaram uma técnica maliciosa conhecida. A presença de arquivos .png (file drops) e código sendo carregado na memória (dex dumps) sugeriu que o aplicativo continha mais do que aparentava. A hipótese inicial era de que se tratava de uma variação do malware Mamont, devido à semelhança do nome com um sistema de pagamento conhecido.

Stage 1 - O Loader

Ao examinar o AndroidManifest.xml do APK, foi identificado um classe io.immense.gesture.Ipperfluid que é executada antes do código principal. Essa classe geralmente é responsável por configurar manipuladores de exceção e preparar o ambiente para a execução do código da carga útil (payload). A análise do código revelou uma grande quantidade de cálculos matemáticos e um código significativamente diferente do esperado para um aplicativo legítimo, indicando que a descompactação da carga útil ocorreria ali. A ausência quase total de classes reais no aplicativo confirmou que a carga útil foi empacotada para evadir a detecção estática, tornando necessária sua extração para análise.

Análise do Loader e a Carga Útil

O loader continha uma quantidade notável de strings em russo, inclusive em logs. Uma funcionalidade interessante era a criação de uma notificação de "atualização de software bem-sucedida" após a instalação da carga útil. Mais intrigante ainda, o código continha links para serviços legítimos e populares, como o Trello. A partir do Trello, um arquivo HTML era baixado, solicitando ao usuário que atualizasse o aplicativo. Essa tática de "falsa atualização" é popular entre os malwares para Android por dois motivos principais: ela ajuda a mascarar a atividade maliciosa de ferramentas antivírus e resulta na instalação de um segundo aplicativo, muitas vezes oculto, que o usuário pode esquecer. Através de um redirecionamento do Yandex.Metrica para outro serviço de gerenciamento de projetos, a próxima fase da carga útil era baixada. É notável que os atacantes utilizem plataformas de gerenciamento de projetos para hospedar seus malwares, o que pode ser visto como uma tentativa de gerenciar a complexidade da distribuição de malware.

Stage 2 - O Backdoor

O APK baixado na etapa anterior apresentava elementos semelhantes ao primeiro estágio, como os arquivos .png e o código carregado dinamicamente, sugerindo uma técnica de empacotamento similar. O AndroidManifest.xml e o código ofuscado da classe biz.require.casual.Jsliceturkey confirmaram o uso de ofuscação. Utilizando uma sandbox, foi possível obter um dump descompactado da carga útil. A análise do backdoor revelou um conjunto clássico de técnicas comuns em malwares Android, com nomes de classes que indicavam suas funcionalidades. O malware suportava múltiplos idiomas, incluindo inglês, russo e ucraniano.

Interação de Rede e Trello como Hosting de Malware

A análise da interação de rede mostrou que o malware coletava informações sobre o IP da vítima, baixava um arquivo random_val.txt do Dropbox e enviava dados para cold-apple[.]com. A análise do tráfego revelou que o valor api_code era hardcoded, provavelmente usado para determinar a chave RC4 para criptografia. A decriptografia dos dados enviados ao servidor de controle revelou informações detalhadas sobre a vítima e a configuração recebida do servidor. A investigação dos arquivos no Trello, de onde a carga útil foi baixada, revelou que os atacantes não apenas utilizavam a plataforma para hospedar arquivos HTML de phishing, mas também os atualizavam regularmente. Várias versões de páginas de atualização falsa foram encontradas, algumas direcionadas especificamente a aplicativos bancários. A seção "injects" continha uma lista de aplicativos, indicando um ataque direcionado a usuários russos. As páginas de phishing eram projetadas para enganar os usuários a fornecerem seus dados, e o código dentro dos arquivos HTML enviava essas informações através de um webview. Um aspecto particularmente perigoso era o pedido de permissões de "Acessibilidade", que concede controle total sobre o dispositivo, permitindo a leitura de SMS, chamadas e dados bancários, além de impedir a desinstalação do aplicativo. A atividade na placa pública do Trello, associada ao usuário alexsentov, indicou que os autores da campanha atualizavam ativamente as cargas úteis e mantinham atividade na plataforma. Registros arquivados mostraram que as cargas úteis eram carregadas ativamente na placa do Trello entre fevereiro e agosto de 2025. Posteriormente, os atacantes passaram a usar uma combinação do Yandex.Metrica com o YouGile, possivelmente devido à remoção de amostras maliciosas pelo Trello.

Atribuição e Evolução da Campanha Falcon

A busca por Indicadores de Comprometimento (IOCs) levou à identificação de amostras semelhantes de 2022 relacionadas à campanha maliciosa Falcon. As amostras de 2022 e 2026 apresentavam diferenças significativas em termos de ofuscação e métodos de carregamento de código. A versão de 2026 utilizava reflexão Java para substituir campos do sistema JVM e carregar a carga útil descompactada na memória. A funcionalidade também evoluiu consideravelmente ao longo dos quatro anos. A versão mais recente incluía funcionalidades como gravação de tela, reinício contínuo do aplicativo para evitar que fosse encerrado, criação de canais de notificação ocultos, processamento de chamadas e SMS, ping contínuo do servidor, coleta de dados via JavaScript e até mesmo a capacidade de "brickar" o telefone exibindo uma página HTML sobre a tela de bloqueio. Essa evolução demonstra um aumento na capacidade dos atacantes de obter informações completas do telefone da vítima e assumir controle total do dispositivo. A URL /api/api.php?get_lend= encontrada na versão de 2022 também foi preservada na versão de 2026. A combinação desses fatores permitiu atribuir as amostras à campanha Falcon, que se tornou cada vez mais perigosa ao longo do tempo.

Work In Progress e Conclusão

Em maio de 2024, os atacantes começaram a usar um novo serviço de gerenciamento de projetos russo para hospedar suas cargas úteis. Os nomes dos arquivos maliciosos continham nomes de bancos populares, dificultando a detecção pelo usuário. As novas amostras apresentavam um novo tipo de ofuscação e classes aprimoradas como PatternActivity e PinActivity, responsáveis por criar telas falsas de PIN e padrão de desbloqueio. O uso de um tracker do Mail.ru em vez do AppMetrica também foi observado. Em junho, os atacantes continuaram a aprimorar o malware, adicionando novas funcionalidades e experimentando com novos tipos de páginas de phishing e janelas de PIN/padrão. A ofuscação de strings foi implementada para contornar a detecção antivírus, e mais cartões com artefatos foram adicionados ao Trello. A campanha, que começou com uma amostra suspeita em uma sandbox, continua a evoluir, com os pesquisadores observando atentamente seus desenvolvimentos. Ataques direcionados a usuários russos, como o Mamont e o AI-95, estão se tornando mais frequentes. Recomendações gerais incluem evitar baixar aplicativos de fontes não confiáveis, desconfiar de aplicativos que solicitam muitas permissões ou exigem atualizações imediatas, e, crucialmente, nunca conceder permissões de "Acessibilidade". Um único clique em "Atualizar" pode levar à completa comprometimento do dispositivo.

Indicadores de Comprometimento (IOCs)

Os IOCs fornecidos incluem endereços de servidores de Comando e Controle (C2), amostras de malware de 2022 e 2026, e uma lista de páginas de injeção de phishing.