Como remover o trojan bancário PhantomCard do seu dispositivo Android

Que tipo de malware é o PhantomCard?

O PhantomCard é um trojan bancário que tem como alvo dispositivos Android. Este malware é oferecido como MaaS (Malware-as-a-Service) por um agente de ameaças apelidado de “Go1ano developer”. O PhantomCard não foi desenvolvido pelo “Go1ano developer”; é um malware personalizado baseado no MaaS “NFU Pay” criado por um agente malicioso de língua chinesa, o que essencialmente torna o “Go1ano developer” um revendedor.

O PhantomCard foi projetado para retransmitir dados NFC a fim de facilitar o uso fraudulento de cartões de crédito/débito. O trojan é personalizado para atingir utilizadores no Brasil. No entanto, o serviço “NFU Pay” pode produzir versões de malware para se adequar a diversas especificações, e o “Go1ano developer” afirma operar em todo o mundo. Portanto, a campanha do PhantomCard pode se expandir.

Visão geral do malware PhantomCard

Na campanha observada que visava utilizadores brasileiros, o PhantomCard infiltrou-se em dispositivos Android como um aplicativo de segurança para cartões de crédito/débito. O aplicativo falso “Proteção Cartões” foi observado a ser disseminado por sites fraudulentos que imitavam a Google Play Store.

Ao contrário de muitos programas maliciosos específicos para Android, este malware não solicita uma variedade de permissões suspeitas a serem concedidas pela vítima. O PhantomCard (sob o disfarce de aplicativo de proteção de cartão) pede ao utilizador para encostar o cartão na parte de trás do smartphone para iniciar o processo de verificação. Após a conclusão desta etapa, a página seguinte confirma e instrui a manter o cartão por perto até que a autenticação seja concluída.

Durante o processo falso, o PhantomCard prepara-se para enviar NFC (Near-Field Communication) para o dispositivo dos atacantes; em seguida, é transmitido através de um servidor de retransmissão NFC controlado pelos cibercriminosos.

A tela seguinte apresentada à vítima solicita que ela insira o número PIN do cartão para fins de verificação. Depois que o PIN é inserido, uma nova página afirma estar verificando o cartão e sincronizando com o banco.

Através deste processo enganoso, o trojan cria um canal entre o cartão da vítima e o dispositivo do atacante, que pode então ser utilizado numa ATM (Automated Teller Machine) para levantar fundos em dinheiro ou num terminal de pagamento para realizar pagamentos sem contacto. Como os atacantes também obtêm o número PIN, isso permite-lhes contornar quaisquer operações financeiras que exijam esse código.

É pertinente mencionar que os criadores de malware geralmente aprimoram seus softwares e metodologias. Portanto, futuras iterações do PhantomCard podem assumir diferentes disfarces ou ter funcionalidades e recursos adicionais/diferentes.

Em resumo, a presença de software malicioso como o PhantomCard em dispositivos pode resultar em sérios problemas de privacidade e perdas financeiras significativas.

Exemplos de trojans bancários

Já escrevemos sobre vários programas maliciosos; DoubleTrouble, TsarBot, Marcher, Brokewell e Greenbean são apenas alguns dos nossos artigos mais recentes sobre trojans bancários que visam o Android.

Malware é um termo amplo que abrange softwares com uma grande variedade de capacidades maliciosas, que vão desde a extração de dados confidenciais até a criptografia de dados para exigir resgate pela descriptografia (ransomware). No entanto, independentemente de como o malware opera, a sua presença ameaça a segurança do dispositivo e do utilizador. Portanto, todas as ameaças devem ser eliminadas imediatamente após a deteção.

Como é que o PhantomCard se infiltrou no meu dispositivo?

Na campanha conhecida do PhantomCard, ele estava disfarçado como uma aplicação chamada “Proteção Cartões” e tinha como alvo utilizadores no Brasil. Esta aplicação falsa foi distribuída através de sites fraudulentos do Google Play. As páginas imitadoras descobertas eram convincentes e incluíam avaliações falsas elogiando a aplicação.

No entanto, é importante mencionar que o PhantomCard pode se infiltrar em dispositivos sob diferentes disfarces e ser disseminado por outros métodos. Geralmente, phishing e engenharia social são métodos padrão na distribuição de malware. Os programas maliciosos geralmente são disfarçados ou incluídos em pacotes com software/mídia comum.

O malware é disseminado principalmente por canais de download não confiáveis (por exemplo, sites de freeware e hospedagem gratuita de arquivos, redes de compartilhamento ponto a ponto, lojas de aplicativos de terceiros, etc.), downloads drive-by (furtivos/enganosos), malvertising, anexos/links maliciosos em spam (por exemplo, e-mails, DMs/PMs, SMS, publicações nas redes sociais, etc.), fraudes online, conteúdo pirata, ferramentas de ativação de software ilegal (“cracks”) e atualizações falsas.

Alguns programas maliciosos podem se espalhar por redes locais e dispositivos de armazenamento removíveis (por exemplo, discos rígidos externos, unidades flash USB, etc.).

Como evitar a instalação de malware?

É essencial ter cuidado para garantir a segurança do dispositivo e do utilizador. Portanto, pesquise sempre o software antes de fazer o download/compra, lendo os termos, verificando as permissões necessárias e verificando a legitimidade do desenvolvedor. Faça o download apenas de canais oficiais e confiáveis. Ative e atualize programas usando funções/ferramentas legítimas, pois aqueles adquiridos de terceiros podem conter malware.

Além disso, esteja atento ao navegar, pois a Internet está repleta de conteúdo enganoso e malicioso. Aborde e-mails e outras mensagens recebidas com cautela; não abra anexos ou links encontrados em e-mails suspeitos.

É fundamental ter um antivírus confiável instalado e mantido atualizado. O software de segurança deve ser usado para executar verificações regulares do sistema e remover ameaças detectadas.

PhantomCard pedindo à vítima para tocar com o cartão para iniciar a verificação:

Ecrã exibido após a conclusão da primeira etapa:

PhantomCard a pedir à vítima para introduzir o número PIN do cartão:

Processo de verificação falso exibido após a introdução do PIN:

Aparência de uma página falsa do Google Play usada para promover o PhantomCard:

Menu rápido:

• Introdução
• Como eliminar o histórico de navegação do navegador Web Chrome?
• Como desativar as notificações do navegador Web Chrome?
• Como reiniciar o navegador Web Chrome?
• Como eliminar o histórico de navegação do browser Firefox?
• Como desativar as notificações do navegador Firefox?
• Como reiniciar o browser Firefox?
• Como desinstalar aplicações potencialmente indesejadas e/ou maliciosas?
• Como arrancar o dispositivo Android no "Modo de segurança"?
• Como verificar a utilização da bateria de várias aplicações?
• Como verificar a utilização de dados de várias aplicações?
• Como instalar as actualizações de software mais recentes?
• Como repor o sistema no seu estado predefinido?
• Como desativar as aplicações que têm privilégios de administrador?

Eliminar o histórico de navegação do navegador Web Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu pendente aberto.

Toque em "Limpar dados de navegação", selecione o separador "AVANÇADO", escolha o intervalo de tempo e os tipos de dados que pretende eliminar e toque em "Limpar dados".

[Voltar ao menu]

Desativar as notificações do navegador no navegador Web Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Definições" no menu pendente aberto.

Desloque-se para baixo até ver a opção "Definições do sítio" e toque nela. Desloque-se para baixo até ver a opção "Notificações" e toque nela.

Encontre os sites que enviam notificações do navegador, toque neles e clique em "Limpar e repor". Isto irá remover as permissões concedidas para que estes sítios Web enviem notificações. No entanto, se voltar a visitar o mesmo sítio, este pode voltar a pedir uma autorização. Pode optar por conceder ou não estas permissões (se optar por recusar, o sítio Web irá para a secção "Bloqueado" e deixará de lhe pedir a permissão).

[Voltar ao menu]

Repor o navegador Web Chrome:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque na mesma.

Desloque-se para baixo até encontrar a aplicação "Chrome", selecione-a e toque na opção "Armazenamento".

Toque em "GERIR ARMAZENAMENTO", depois em "LIMPAR TODOS OS DADOS" e confirme a ação tocando em "OK". Note que a reposição do navegador elimina todos os dados armazenados no mesmo. Isto significa que todos os inícios de sessão/palavras-passe guardados, histórico de navegação, definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sítios Web.

[Voltar ao menu]

Eliminar o histórico de navegação do browser Firefox:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu pendente aberto.

Desloque-se para baixo até ver "Limpar dados privados" e toque nele. Selecione os tipos de dados que pretende remover e toque em "LIMPAR DADOS".

[Voltar ao menu]

Desativar as notificações do navegador no navegador Web Firefox:

Visite o sítio Web que está a enviar notificações do navegador, toque no ícone apresentado à esquerda da barra de URL (o ícone não será necessariamente um "cadeado") e selecione "Editar definições do sítio".

Na janela pop-up aberta, selecione a opção "Notificações" e toque em "LIMPAR".

[Voltar ao menu]

Reinicie o navegador Web Firefox:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque na mesma.

Desloque-se para baixo até encontrar a aplicação "Firefox", selecione-a e toque na opção "Armazenamento".

Toque em "LIMPAR DADOS" e confirme a ação tocando em "APAGAR". Note que a reposição do navegador elimina todos os dados armazenados no mesmo. Isto significa que todos os inícios de sessão/palavras-passe guardados, histórico de navegação, definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sítios Web.

[Voltar ao menu]

Desinstalar aplicações potencialmente indesejadas e/ou maliciosas:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque na mesma.

Desloque-se para baixo até ver uma aplicação potencialmente indesejada e/ou maliciosa, selecione-a e toque em "Desinstalar". Se, por alguma razão, não conseguir remover a aplicação selecionada (por exemplo, é-lhe apresentada uma mensagem de erro), deve tentar utilizar o "Modo de Segurança".

[Voltar ao menu]

Arrancar o dispositivo Android no "Modo de segurança":

O "Modo de segurança" do sistema operativo Android desactiva temporariamente a execução de todas as aplicações de terceiros. A utilização deste modo é uma boa forma de diagnosticar e resolver vários problemas (por exemplo, remover aplicações maliciosas que impedem os utilizadores de o fazer quando o dispositivo está a funcionar "normalmente").

Prima o botão "Power" e mantenha-o premido até ver o ecrã "Desligar". Toque no ícone "Desligar" e mantenha-o premido. Após alguns segundos, aparecerá a opção "Modo de segurança" e poderá executá-la reiniciando o dispositivo.

[Voltar ao menu]

Verifique a utilização da bateria de várias aplicações:

Aceda a "Definições", desloque-se para baixo até ver "Manutenção do dispositivo" e toque nela.

Toque em "Bateria" e verifique a utilização de cada aplicação. As aplicações legítimas/genuínas são concebidas para utilizar o mínimo de energia possível, a fim de proporcionar a melhor experiência ao utilizador e poupar energia. Por conseguinte, uma utilização elevada da bateria pode indicar que a aplicação é maliciosa.

[Voltar ao menu]

Verifique a utilização de dados de várias aplicações:

Aceda a "Definições", desloque-se para baixo até ver "Ligações" e toque nela.

Desloque-se para baixo até ver "Utilização de dados" e selecione esta opção. Tal como acontece com a bateria, as aplicações legítimas/genuínas são concebidas para minimizar a utilização de dados tanto quanto possível. Isto significa que uma grande utilização de dados pode indicar a presença de uma aplicação maliciosa. Note-se que algumas aplicações maliciosas podem ser concebidas para funcionar apenas quando o dispositivo está ligado a uma rede sem fios. Por este motivo, deve verificar a utilização de dados móveis e Wi-Fi.

Se encontrar uma aplicação que utilize muitos dados, apesar de nunca a utilizar, recomendamos vivamente que a desinstale o mais rapidamente possível.

[Voltar ao menu]

Instalar as actualizações de software mais recentes:

Manter o software atualizado é uma boa prática no que diz respeito à segurança do dispositivo. Os fabricantes de dispositivos estão continuamente a lançar vários patches de segurança e actualizações do Android para corrigir erros e bugs que podem ser utilizados por criminosos informáticos. Um sistema desatualizado é muito mais vulnerável, pelo que deve certificar-se sempre de que o software do seu dispositivo está atualizado.

Vá a "Definições", desloque-se para baixo até ver "Atualização de software" e toque nela.

Toque em "Descarregar actualizações manualmente" e verifique se existem actualizações disponíveis. Em caso afirmativo, instale-as imediatamente. Recomendamos também que active a opção "Descarregar actualizações automaticamente" - esta opção permitirá que o sistema o notifique quando for lançada uma atualização e/ou a instale automaticamente.

[Voltar ao menu]

Repor o sistema no seu estado predefinido:

Executar uma "Reposição de fábrica" é uma boa forma de remover todas as aplicações indesejadas, repor as predefinições do sistema e limpar o dispositivo em geral. No entanto, deve ter em conta que todos os dados do dispositivo serão eliminados, incluindo fotografias, ficheiros de vídeo/áudio, números de telefone (armazenados no dispositivo e não no cartão SIM), mensagens SMS, etc. Por outras palavras, o dispositivo será restaurado ao seu estado original.

Também pode restaurar as definições básicas do sistema e/ou simplesmente as definições de rede.

Vá a "Definições", desloque-se para baixo até ver "Acerca do telemóvel" e toque nele.

Desloque-se para baixo até ver "Repor" e toque nele. Agora escolha a ação que pretende executar:
"Repor definições" - repõe todas as definições do sistema para as predefinições;
"Repor definições de rede" - repõe todas as definições relacionadas com a rede para as predefinições;
"Repor dados de fábrica" - repõe todo o sistema e elimina completamente todos os dados armazenados;

[Voltar ao menu]

Desativar aplicações que tenham privilégios de administrador:

Se uma aplicação maliciosa obtiver privilégios de administrador, pode danificar seriamente o sistema. Para manter o dispositivo o mais seguro possível, deve verificar sempre quais as aplicações que têm esses privilégios e desativar as que não devem ter.

Aceda a "Definições", desloque-se para baixo até ver "Ecrã de bloqueio e segurança" e toque nessa opção.

Desloque-se para baixo até ver "Outras definições de segurança", toque nela e, em seguida, toque em "Aplicações de administração do dispositivo".

Identifique as aplicações que não devem ter privilégios de administrador, toque nelas e depois em "DESACTIVAR".

Perguntas frequentes (FAQ)

Meu dispositivo Android está infectado com o malware PhantomCard. Devo formatar meu dispositivo de armazenamento para me livrar dele?

A remoção de malware raramente requer formatação.

Quais são os maiores problemas que o malware PhantomCard pode causar?

As ameaças representadas por uma infeção dependem das capacidades do malware e dos objetivos dos atacantes. O PhantomCard transmite os dados NFC das vítimas, permitindo assim que os atacantes utilizem os seus cartões de crédito/débito em caixas eletrônicos e terminais de pagamento. Portanto, este trojan pode causar sérios problemas de privacidade e perdas financeiras.

Qual é o objetivo do malware PhantomCard?

Na maioria dos casos, o malware é usado para gerar receita, e o PhantomCard não é exceção. No entanto, o software malicioso também pode ser usado para diversão dos cibercriminosos ou para realizar rancores pessoais, interromper processos (por exemplo, sites, serviços, empresas, etc.), hacktivismo e ataques motivados por questões políticas/geopolíticas.

Como o malware PhantomCard se infiltrou no meu dispositivo Android?

O PhantomCard foi disseminado sob o disfarce do aplicativo “Proteção Cartões” através de páginas falsas da Google Play Store. Outros métodos de distribuição também são possíveis.

O malware é proliferado principalmente por meio de downloads drive-by, malvertising, spam, golpes online, canais de download suspeitos (por exemplo, sites de freeware e de terceiros, redes de partilha P2P, lojas de aplicativos de terceiros, etc.), ferramentas ilegais de ativação de software (“cracks”) e atualizações falsas. Alguns programas maliciosos podem até mesmo se espalhar por meio de redes locais e dispositivos de armazenamento removíveis.

O Combo Cleaner irá proteger-me contra malware?

O Combo Cleaner é capaz de detetar e remover praticamente todas as infeções de malware conhecidas. Tenha em mente que é essencial realizar uma verificação completa do sistema, uma vez que programas maliciosos sofisticados normalmente se escondem nas profundezas dos sistemas.