Como funcionam os aplicativos Android falsos .NET MAUI

Especialistas em segurança cibernética identificaram outra onda de malware para Android que utiliza a estrutura .NET Multi-platform App UI (.NET MAUI) da Microsoft para criar aplicativos bancários e de mídia social fraudulentos. Esses aplicativos maliciosos têm como alvo principal usuários que falam chinês e indiano, com o objetivo de roubar informações pessoais confidenciais.

O que é .NET MAUI e por que ele está sendo explorado?

.NET MAUI é uma estrutura de desenvolvimento de aplicativos multiplataforma criada pela Microsoft. Ela permite que os desenvolvedores criem aplicativos nativos para vários sistemas operacionais, incluindo Android, iOS, macOS e Windows, usando uma única base de código escrita em C# e XAML. É uma evolução da estrutura Xamarin, que encerrou oficialmente seu suporte em 1º de maio de 2024. Com essa transição, a Microsoft incentivou os desenvolvedores a migrarem para o .NET MAUI para suporte e atualizações contínuos.

Enquanto campanhas de malware anteriores alavancaram o Xamarin, os cibercriminosos agora mudaram para o .NET MAUI. O motivo por trás dessa transição está na capacidade única da estrutura de encapsular funcionalidades principais dentro do código C# armazenado como blobs binários. Ao contrário dos aplicativos Android convencionais, que dependem de arquivos DEX ou bibliotecas nativas para execução, os aplicativos baseados em .NET MAUI não têm esses indicadores típicos, tornando-os mais difíceis de detectar e analisar. Isso dá aos agentes de ameaças uma vantagem na distribuição e manutenção de seus aplicativos maliciosos por longos períodos sem levantar suspeitas.

Como esses aplicativos falsos operam

Apelidados de "FakeApp", esses aplicativos fraudulentos se disfarçam como aplicativos financeiros ou de mídia social legítimos. Analistas de segurança cibernética identificaram vários aplicativos falsos se passando por serviços financeiros e plataformas de mídia social, como o X (antigo Twitter). Esses aplicativos não estão disponíveis no Google Play, mas são distribuídos por meio de links enganosos enviados por aplicativos de mensagens. Os usuários são enganados para baixá-los de lojas de aplicativos não oficiais, aumentando o risco de exposição a malware.

Uma vez instalados, esses aplicativos solicitam permissões excessivas e coletam furtivamente dados pessoais. Em um caso, um aplicativo que se passava por um serviço financeiro indiano extraiu informações críticas, incluindo nomes completos, números de telefone, endereços de e-mail, endereços residenciais, datas de nascimento, detalhes de cartão de crédito e números de identificação emitidos pelo governo. Outro aplicativo fraudulento personificou X, visando usuários de língua chinesa e roubando contatos, mensagens SMS e fotos de seus dispositivos.

Técnicas usadas para evitar a detecção

Os desenvolvedores por trás desses aplicativos maliciosos empregam várias técnicas sofisticadas para evitar detecção e análise. Um dos principais métodos é usar o .NET MAUI como um empacotador, ocultando efetivamente o código malicioso dentro do aplicativo. Ao contrário do malware Android tradicional, esses aplicativos dependem de um mecanismo de carregador criptografado para executar suas cargas úteis dinamicamente.

Além disso, o malware incorpora técnicas de carregamento dinâmico de vários estágios, onde um carregador criptografado por XOR é usado para descriptografar uma carga útil criptografada por AES. Este estágio final carrega os conjuntos .NET MAUI necessários que executam as funções reais do malware. Ao estruturar seu ataque dessa maneira, os criminosos cibernéticos tornam significativamente mais desafiador para os pesquisadores de segurança analisar e neutralizar suas ameaças.

Outra tática enganosa envolve adicionar permissões sem sentido ao arquivo AndroidManifest.xml, como "android.permission.LhSSzIw6q". Essas permissões enganosas são inseridas para confundir ferramentas automatizadas de análise de segurança, dificultando que elas sinalizem o aplicativo como suspeito.

As implicações deste malware

O surgimento de malware aproveitando o .NET MAUI representa uma ameaça em evolução no cenário de segurança cibernética. À medida que os desenvolvedores se afastam do Xamarin e adotam o .NET MAUI, os criminosos cibernéticos estão seguindo o exemplo, refinando suas técnicas para explorar os recursos da estrutura. Essa mudança ressalta a necessidade de maior vigilância entre usuários e desenvolvedores.

O risco de instalar tais aplicativos falsos é substancial para os usuários. Os dados roubados podem então ser explorados para roubo de identidade, fraude financeira ou venda na dark web. Além disso, o acesso a arquivos e mensagens pessoais pode levar a violações graves de privacidade.

Para profissionais de segurança e desenvolvedores, o aumento do malware baseado em .NET MAUI exige mecanismos de detecção aprimorados. As ferramentas de segurança existentes devem se adaptar para reconhecer ameaças ocultas em blobs binários C# e payloads carregados dinamicamente. Os desenvolvedores também devem garantir que seguem as melhores práticas de segurança ao criar aplicativos .NET MAUI para evitar vulnerabilidades potenciais que os invasores podem explorar.

Como se manter seguro

Para se proteger contra ameaças representadas pelo FakeApp e campanhas de malware semelhantes, os usuários devem tomar as seguintes precauções:

1. Baixe aplicativos somente de lojas oficiais - Use a Google Play Store ou outras fontes confiáveis para baixar aplicativos. Evite instalar aplicativos de sites de terceiros ou links recebidos por mensagens.
2. Verifique as permissões do aplicativo - Desconfie de aplicativos que solicitam permissões desnecessárias, por exemplo, acesso a contatos, SMS ou fotos armazenadas.
3. Verifique a autenticidade do aplicativo - Antes de instalar qualquer aplicativo, pesquise sua legitimidade verificando detalhes do desenvolvedor, avaliações e classificações.
4. Use software de segurança - Instale aplicativos de segurança móvel confiáveis que possam detectar e bloquear ameaças potenciais.
5. Mantenha o software atualizado - Atualize regularmente o sistema operacional e os aplicativos instalados para corrigir vulnerabilidades que os invasores podem explorar.

Considerações finais

O uso do .NET MAUI na criação de aplicativos Android falsos marca uma evolução significativa no desenvolvimento de malware. Os criminosos cibernéticos estão se adaptando cada vez mais aos avanços tecnológicos, aproveitando estruturas modernas para evitar a detecção e comprometer a segurança do usuário. Ao se manterem informados e adotarem hábitos digitais seguros, os usuários podem reduzir os riscos de encontrar essas ameaças enganosas. À medida que os desafios da segurança cibernética continuam a evoluir, a vigilância continua sendo a chave para proteger informações pessoais e financeiras em um mundo cada vez mais interconectado.