O golpe mais eficiente costuma nao ser o mais sofisticado, e o RedHook e um bom exemplo disso. Detalhado por pesquisadores da Group-IB em uma versao atualizada, esse trojan de acesso remoto nao precisa de nenhuma falha inedita do Android para funcionar. Ele depende de algo bem mais simples: convencer a vitima a instalar um aplicativo falso, que se passa por instituicao bancaria ou por orgao do governo. A partir dai, quem assume o volante e o criminoso, com controle remoto do aparelho.
A parte engenhosa vem depois da instalacao. O app pede permissao de acessibilidade, aquele recurso legitimo pensado para ajudar pessoas com deficiencia a navegar pelo sistema, e usa essa autorizacao para ativar de forma invisivel o modo desenvolvedor e a depuracao sem fio, a ADB. Com uma maquina virtual simulando a conexao de um PC, o malware consegue privilegios de shell no proprio celular. Traduzindo: em vez de arrombar a porta, ele pega a chave que o usuario entregou e abre uma porta de servico que o Android ja tinha, so que reservada para desenvolvedores. Dai em diante, o trojan grava a tela, captura credenciais de banco, intercepta SMS, instala outros aplicativos e ate aciona a camera frontal, sem qualquer sinal visivel para a vitima.
A distribuicao segue a cartilha do phishing tradicional, com um agravante. As mensagens e ligacoes chegam com o tom de urgencia de sempre, mas os arquivos maliciosos ficam hospedados em paginas que imitam a Google Play Store e, em alguns casos, em plataformas absolutamente legitimas como GitHub e Amazon. Esse detalhe e o que derruba a dica popular de “so confiar em link de site conhecido”: o dominio pode ser confiavel e o arquivo, nao.
Para o leitor brasileiro, o alerta cai em terreno familiar. Golpes que se passam por banco por SMS ou ligacao ja fazem parte da rotina por aqui, e o RedHook mostra que o elo fraco continua sendo a instalacao manual de um APK fora da loja oficial. Tres habitos resolvem a maior parte do risco: nao instalar aplicativo vindo de link, desconfiar de qualquer contato que peca um download com urgencia, por mais oficial que pareca, e negar permissao de acessibilidade a apps sem motivo evidente para pedi-la. Se um suposto app do seu banco pede essa autorizacao logo na primeira tela, o problema nao e a permissao, e o app.
