Como se livrar do spyware Android Corp MDM

Que tipo de malware é o Corp MDM Spyware?

O Corp MDM é um spyware para Android que visa funcionários de empresas de logística. Interceta silenciosamente mensagens SMS e redireciona chamadas para roubar códigos de autenticação. De acordo com a investigação do Have I Been Squatted, a campanha está associada a operações de roubo de carga.

Corp MDM Spyware - visão geral

O Corp MDM apresenta-se como uma aplicação denominada System Service, com um falso carregador de configuração do sistema que apresenta mensagens como Initializing system... durante cerca de dez segundos antes de solicitar permissões. Este atraso imita um processo genuíno de configuração do dispositivo, tornando os utilizadores mais propensos a conceder o acesso de que o malware necessita.

O malware é distribuído através de páginas falsas da Google Play Store que se fazem passar pela CEVA Logistics e pela TKW Logistics. Estas páginas copiam fielmente a navegação, as classificações, as avaliações e as secções de segurança de dados da Play Store para parecerem legítimas. Os visitantes são depois instruídos a instalar manualmente o APK e a permitir instalações de fontes desconhecidas.

Uma vez instalado, o Corp MDM interceta todas as mensagens SMS recebidas em tempo real, capturando o remetente, o corpo da mensagem e a data/hora, juntamente com um identificador único do dispositivo. Isto torna-o eficaz no roubo de palavras-passe de utilização única usadas na autenticação de dois fatores, permitindo aos atacantes contornar verificações de segurança em aplicações bancárias e outros serviços.

O malware também pode ativar silenciosamente o reencaminhamento incondicional de chamadas no dispositivo, redirecionando todas as chamadas recebidas para um número controlado pelos atacantes. Isto é feito através de um código padrão da operadora enviado em segundo plano, sem qualquer sinal visível para a vítima. Combinado com a interceção de SMS, dá ao atacante controlo total sobre as comunicações recebidas pela vítima.

O Corp MDM comunica com um servidor de comando e controlo através de HTTP não encriptado, enviando detalhes do dispositivo, como o fabricante, o modelo e o nível da bateria, juntamente com os dados SMS roubados. O painel do operador suporta comandos para ativar/desativar o reencaminhamento de chamadas, solicitar a sincronização de SMS e acionar uma rotina de autodestruição que interrompe o serviço e apaga os dados da aplicação.

Os investigadores avaliaram que o agente de ameaça por detrás do Corp MDM tem provavelmente uma ligação arménia ou russa, com base, em parte, num indicativo de país predefinido +374 encontrado no painel do operador. O implante também mostra sinais de desenvolvimento assistido por IA, incluindo erros que deixam algumas funcionalidades anunciadas - como o rastreamento de localização e o bloqueio do dispositivo - sem qualquer implementação funcional no cliente.

É de referir que os desenvolvedores de malware melhoram frequentemente o seu software e as suas metodologias. Assim, possíveis iterações futuras do Corp MDM poderão ter funcionalidades e características adicionais ou diferentes.

Em resumo, a presença de software como o Corp MDM em dispositivos pode levar a graves problemas de privacidade, roubo de códigos de autenticação, reencaminhamento não autorizado de chamadas, perdas financeiras e roubo de identidade.

Exemplos de spyware Android

O Corp MDM é uma ferramenta específica concebida para apoiar o roubo de carga, monitorizando discretamente as comunicações de funcionários de empresas de logística. A combinação da interceção de SMS com o reencaminhamento de chamadas dá aos atacantes acesso persistente a códigos de autenticação, tornando-o particularmente prejudicial para vítimas cujas contas estão associadas ao número de telefone comprometido.

Ameaças semelhantes de spyware e malware Android incluem RedWing, ResidentBat e Landfall. Tenha em mente que, embora as suas capacidades possam diferir, os riscos gerais - invasão de privacidade, perdas financeiras e roubo de identidade - mantêm-se consistentes neste tipo de ameaças.

Como é que o Corp MDM Spyware se infiltrou no meu dispositivo?

O Corp MDM propaga-se principalmente através de páginas falsas da Google Play Store que se fazem passar pela CEVA Logistics e pela TKW Logistics. Estas páginas estão alojadas em domínios semelhantes aos originais e foram concebidas para parecerem listagens oficiais de aplicações, com classificações e avaliações fabricadas. Os visitantes são orientados a descarregar diretamente um ficheiro APK e a ativar instalações de fontes desconhecidas, um passo que a verdadeira Play Store nunca exige.

Em geral, o malware Android também chega às vítimas através de lojas de aplicações de terceiros, ligações de phishing enviadas por e-mail ou aplicações de mensagens, falsos pedidos de atualização de software e anúncios maliciosos. Descarregar aplicações apenas da Google Play Store oficial e verificar o desenvolvedor antes de instalar são as proteções mais fiáveis.

Como evitar a instalação de malware?

Instale sempre aplicações de fontes oficiais e desconfie de qualquer site que lhe peça para descarregar diretamente um ficheiro APK. Páginas que imitam o aspeto da Play Store mas não estão alojadas em google.com ou play.google.com são quase certamente fraudulentas. Verifique cuidadosamente o URL antes de tocar em qualquer botão de transferência.

Evite clicar em ligações em e-mails, mensagens de texto ou publicações nas redes sociais não solicitados que ofereçam transferências de aplicações. Reveja as permissões que uma aplicação solicita durante a instalação - uma aplicação com aspeto de sistema que pede acesso a SMS e capacidades de chamada é um sério sinal de alerta. Manter o dispositivo atualizado e utilizar software de segurança fiável acrescenta uma importante camada extra de proteção.

Captura de ecrã da falsa Google Play Store utilizada para propagar o spyware Corp MDM (fonte: haveibeensquatted.com):

Menu rápido:

• Introdução
• Como eliminar o histórico de navegação do navegador Chrome?
• Como desativar as notificações do navegador Chrome?
• Como repor o navegador Chrome?
• Como eliminar o histórico de navegação do navegador Firefox?
• Como desativar as notificações do navegador Firefox?
• Como repor o navegador Firefox?
• Como desinstalar aplicações potencialmente indesejadas e/ou maliciosas?
• Como iniciar o dispositivo Android em “Modo de segurança”?
• Como verificar o consumo de bateria de várias aplicações?
• Como verificar a utilização de dados de várias aplicações?
• Como instalar as atualizações de software mais recentes?
• Como repor o sistema para o seu estado predefinido?
• Como desativar aplicações que têm privilégios de administrador?

Eliminar o histórico de navegação do navegador Chrome:

Toque no botão “Menu” (três pontos no canto superior direito do ecrã) e selecione “Histórico” no menu pendente aberto.

Toque em “Limpar dados de navegação”, selecione o separador “AVANÇADAS”, escolha o intervalo de tempo e os tipos de dados que pretende eliminar e toque em “Limpar dados”.

[Voltar ao menu]

Desativar as notificações do navegador Chrome:

Toque no botão “Menu” (três pontos no canto superior direito do ecrã) e selecione “Definições” no menu pendente aberto.

Desloque-se para baixo até ver a opção “Definições de sites” e toque nela. Desloque-se para baixo até ver a opção “Notificações” e toque nela.

Encontre os sites que apresentam notificações do navegador, toque neles e clique em “Limpar e repor”. Isto removerá as permissões concedidas a estes sites para apresentarem notificações. No entanto, assim que visitar novamente o mesmo site, este poderá voltar a pedir permissão. Pode escolher se pretende ou não conceder estas permissões (se optar por recusar, o site passará para a secção “Bloqueados” e deixará de lhe pedir permissão).

[Voltar ao menu]

Repor o navegador Chrome:

Aceda a “Definições”, desloque-se para baixo até ver “Aplicações” e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação “Chrome”, selecione-a e toque na opção “Armazenamento”.

Toque em “GERIR ARMAZENAMENTO”, depois em “LIMPAR TODOS OS DADOS” e confirme a ação tocando em “OK”. Note que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Eliminar o histórico de navegação do navegador Firefox:

Toque no botão “Menu” (três pontos no canto superior direito do ecrã) e selecione “Histórico” no menu pendente aberto.

Desloque-se para baixo até ver “Limpar dados privados” e toque nesta opção. Selecione os tipos de dados que pretende remover e toque em “LIMPAR DADOS”.

[Voltar ao menu]

Desativar as notificações do navegador Firefox:

Visite o site que apresenta as notificações do navegador, toque no ícone apresentado à esquerda da barra de URL (o ícone não será necessariamente um “Cadeado”) e selecione “Editar definições do site”.

Na janela pop-up aberta, selecione a opção “Notificações” e toque em “LIMPAR”.

[Voltar ao menu]

Repor o navegador Firefox:

Aceda a “Definições”, desloque-se para baixo até ver “Aplicações” e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação “Firefox”, selecione-a e toque na opção “Armazenamento”.

Toque em “LIMPAR DADOS” e confirme a ação tocando em “ELIMINAR”. Note que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Desinstalar aplicações potencialmente indesejadas e/ou maliciosas:

Aceda a “Definições”, desloque-se para baixo até ver “Aplicações” e toque nesta opção.

Desloque-se para baixo até ver uma aplicação potencialmente indesejada e/ou maliciosa, selecione-a e toque em “Desinstalar”. Se, por algum motivo, não conseguir remover a aplicação selecionada (por exemplo, se for apresentada uma mensagem de erro), deve tentar utilizar o “Modo de segurança”.

[Voltar ao menu]

Iniciar o dispositivo Android em “Modo de segurança”:

O “Modo de segurança” no sistema operativo Android impede temporariamente a execução de todas as aplicações de terceiros. Utilizar este modo é uma boa forma de diagnosticar e resolver vários problemas (por exemplo, remover aplicações maliciosas que impedem os utilizadores de o fazer quando o dispositivo está a funcionar “normalmente”).

Prima o botão “Ligar/Desligar” e mantenha-o premido até ver o ecrã “Desligar”. Toque no ícone “Desligar” e mantenha-o premido. Após alguns segundos, surgirá a opção “Modo de segurança” e poderá executá-lo reiniciando o dispositivo.

[Voltar ao menu]

Verificar o consumo de bateria de várias aplicações:

Aceda a “Definições”, desloque-se para baixo até ver “Manutenção do dispositivo” e toque nesta opção.

Toque em “Bateria” e verifique o consumo de cada aplicação. As aplicações legítimas/genuínas são concebidas para consumir o mínimo de energia possível, de forma a proporcionar a melhor experiência ao utilizador e a poupar energia. Por isso, um consumo elevado de bateria pode indicar que a aplicação é maliciosa.

[Voltar ao menu]

Verificar a utilização de dados de várias aplicações:

Aceda a “Definições”, desloque-se para baixo até ver “Ligações” e toque nesta opção.

Desloque-se para baixo até ver “Utilização de dados” e selecione esta opção. Tal como acontece com a bateria, as aplicações legítimas/genuínas são concebidas para minimizar ao máximo a utilização de dados. Isto significa que uma utilização de dados muito elevada pode indicar a presença de uma aplicação maliciosa. Note que algumas aplicações maliciosas podem ser concebidas para funcionar apenas quando o dispositivo está ligado a uma rede sem fios. Por esta razão, deve verificar a utilização de dados móveis e de Wi-Fi.

Se encontrar uma aplicação que utiliza muitos dados apesar de nunca a utilizar, recomendamos vivamente que a desinstale o mais rapidamente possível.

[Voltar ao menu]

Instalar as atualizações de software mais recentes:

Manter o software atualizado é uma boa prática no que diz respeito à segurança do dispositivo. Os fabricantes de dispositivos estão continuamente a lançar várias correções de segurança e atualizações do Android para corrigir erros e falhas que podem ser explorados por cibercriminosos. Um sistema desatualizado é muito mais vulnerável, razão pela qual deve certificar-se sempre de que o software do seu dispositivo está atualizado.

Aceda a “Definições”, desloque-se para baixo até ver “Atualização de software” e toque nesta opção.

Toque em “Transferir atualizações manualmente” e verifique se existem atualizações disponíveis. Se existirem, instale-as imediatamente. Recomendamos também que ative a opção “Transferir atualizações automaticamente” - esta permitirá que o sistema o notifique assim que for lançada uma atualização e/ou a instale automaticamente.

[Voltar ao menu]

Repor o sistema para o seu estado predefinido:

Realizar uma “Reposição de fábrica” é uma boa forma de remover todas as aplicações indesejadas, repor as predefinições do sistema e limpar o dispositivo em geral. No entanto, deve ter em mente que todos os dados do dispositivo serão eliminados, incluindo fotografias, ficheiros de vídeo/áudio, números de telefone (armazenados no dispositivo, não no cartão SIM), mensagens SMS, etc. Por outras palavras, o dispositivo será restaurado ao seu estado original.

Pode também repor as definições básicas do sistema e/ou simplesmente as definições de rede.

Aceda a “Definições”, desloque-se para baixo até ver “Acerca do telefone” e toque nesta opção.

Desloque-se para baixo até ver “Repor” e toque nesta opção. Agora escolha a ação que pretende realizar:
“Repor definições” - repor todas as predefinições do sistema;
“Repor definições de rede” - repor todas as predefinições relacionadas com a rede;
“Reposição de dados de fábrica” - repor todo o sistema e eliminar completamente todos os dados armazenados;

[Voltar ao menu]

Desativar aplicações que têm privilégios de administrador:

Se uma aplicação maliciosa obtiver privilégios de nível de administrador, poderá danificar gravemente o sistema. Para manter o dispositivo o mais seguro possível, deve verificar sempre que aplicações têm esses privilégios e desativar as que não os deveriam ter.

Aceda a “Definições”, desloque-se para baixo até ver “Ecrã de bloqueio e segurança” e toque nesta opção.

Desloque-se para baixo até ver “Outras definições de segurança”, toque nesta opção e, em seguida, toque em “Aplicações de administração do dispositivo”.

Identifique as aplicações que não devem ter privilégios de administrador, toque nelas e, em seguida, toque em “DESATIVAR”.

Perguntas Frequentes (FAQ)

O meu dispositivo Android está infetado com o Corp MDM Spyware. Devo formatar o meu dispositivo de armazenamento para me livrar dele?

Geralmente, a formatação não é necessária para a remoção de malware. Utilizar um software de segurança móvel fiável, como o Combo Cleaner, deverá ser suficiente para detetar e remover o Corp MDM do seu dispositivo.

Quais são os maiores problemas que o Corp MDM Spyware pode causar?

O Corp MDM interceta todas as mensagens SMS recebidas em tempo real, o que significa que os atacantes podem recolher palavras-passe de utilização única usadas na autenticação de dois fatores e obter acesso a contas bancárias, e-mail e qualquer serviço associado ao número de telefone da vítima.

O malware também pode reencaminhar todas as chamadas recebidas para um número controlado pelos atacantes. Em conjunto, estas capacidades tornam o acesso não autorizado a contas e o roubo financeiro consequências muito realistas para os utilizadores afetados.

Qual é o objetivo do Corp MDM Spyware?

O Corp MDM parece ter sido concebido principalmente para apoiar o roubo de carga, comprometendo as comunicações de funcionários de empresas de logística. A maioria dos ciberataques é motivada pelo lucro, embora os atacantes também possam ser motivados por espionagem, rancores pessoais, perturbação ou atividades criminosas mais amplas.

Como é que o Corp MDM Spyware se infiltrou no meu dispositivo Android?

O Corp MDM propaga-se através de páginas falsas da Google Play Store que se fazem passar por aplicações da CEVA Logistics e da TKW Logistics. As vítimas são encaminhadas para descarregar diretamente um APK e instalá-lo manualmente. O malware Android também se propaga frequentemente através de ligações de phishing, lojas de aplicações de terceiros e falsos pedidos de atualização de software.

O Combo Cleaner irá proteger-me contra malware?

O Combo Cleaner consegue detetar e eliminar quase todas as infeções de malware conhecidas. Uma verificação completa do sistema é essencial, uma vez que as ameaças sofisticadas tendem a alojar-se profundamente no dispositivo para evitar a deteção.