ESET descobre primeira botnet Android controlada por Twitter

Esse app pode facilmente ser encontrado em qualquer loja de aplicações Android e se espalha através de SMS ou via URLs malignos. Surge como um app tipo “Porn Player” ou aplicação MMS, mas sem ter as respectivas funcionalidades.

Após iniciado, o app esconde sua presença dentro do sistema e se conecta à conta Twitter pré-selecionada em intervalos regulares para obter linhas de comandos. Com base neles, faz o download de outros aplicativos infectados ou muda o C&C (command & control) de uma conta Twitter para outra.

“Usar o Twitter em vez de servidores C&C é extraordinariamente inovador para uma botnet Android”, afirma Lukáš Štefanko, analista de malware da ESET que descobriu esse app maligno.

O malware que infecta dispositivos para formar botnets tem que ser capaz de receber instruções atualizadas. A comunicação sempre foi o calcanhar de Aquiles de qualquer botnet – pode levantar suspeitas e eliminar os bots, o que é sempre letal para o funcionamento de qualquer botnet. Adicionalmente, se os servidores C&C forem apanhados pelas autoridades, a ação pode levar à divulgação de informações sobre toda a botnet.

Para fortalecer a comunicação da botnet Twitoor, os seus designers tomaram várias medidas como codificar suas mensagens utilizando topologias complexas da rede C&C – ou através de meios de comunicação inovadores, entre os quais se destacam redes sociais.

“Esses canais de comunicação são difíceis de descobrir e ainda mais problemáticos de bloquear definitivamente. Por outro lado, é muito fácil para os criminosos redirecionarem comunicações para outra conta recém criada”, explica Štefanko.

Dentro do sistema Windows, o Twitter foi inicialmente utilizado para controlar botnets (desde 2009). Também foram descobertos alguns bots Android que estavam sendo controlados através de outros meios não tradicionais – blogues ou sistemas de mensagens na nuvem, como Google ou Baidu. Todavia, o Twitoor é o primeiro dos malwares baseado no Twitter. Lukáš Štefanko acrescenta que “podemos esperar, num futuro próximo, que estes criminosos possam utilizar o estado do Facebook, do Linkedin ou outras redes.”

Atualmente, o trojan Twitoor foi fazendo download de várias versões de malware de banca online. No entanto, os operadores de botnets podem começar a distribuir outros tipos de malware, incluindo ransomware a qualquer momento, advertiu Štefanko.

“O Twitoor serve como outro exemplo de como os cibercriminosos inovam seus negócios”, afirmou o analista. “A conclusão? Os usuários da Internet devem utilizar soluções de segurança cada vez melhores tanto para seus computadores como para dispositivos móveis.”