O malware NGate volta a atuar no Brasil ao usar uma p\u00e1gina falsa da Loterj e uma c\u00f3pia da Google Play para distribuir uma vers\u00e3o maliciosa do HandyPay. O objetivo \u00e9 capturar PINs e dados de pagamento via NFC, para saques e transa\u00e7\u00f5es n\u00e3o autorizadas. A leitura \u00e9 da empresa de ciberseguran\u00e7a ESET.<\/p>\n
A campanha segmenta usu\u00e1rios Android no Brasil. O NGate j\u00e1 tinha sido identificado pela ESET em 2024, com atividade na Rep\u00fablica Tcheca desde 2023 e expans\u00e3o para a Am\u00e9rica Latina em 2024. A variante brasileira utiliza o HandyPay como porta de entrada.<\/p>\n
O c\u00f3digo malicioso tem ind\u00edcios de uso de Intelig\u00eancia Artificial gerativa, conforme logs analisados pela ESET. Emojis aparecem nos textos gerados pelo malware, sugerindo automa\u00e7\u00e3o na cria\u00e7\u00e3o de instru\u00e7\u00f5es e mensagens. A equipe ressalta o avan\u00e7o t\u00e9cnico com IA no desenvolvimento de amea\u00e7as.<\/p>\n
A distribui\u00e7\u00e3o ocorre por dois vetores hospedados no mesmo dom\u00ednio. Um deles \u00e9 uma p\u00e1gina falsa que imita a Loterj, apresentando um jogo de raspadinha com pr\u00eamio fixo de R$ 20 mil. A v\u00edtima \u00e9 convidada a enviar mensagens no WhatsApp para prosseguir.<\/p>\n
Outra via envolve uma c\u00f3pia da Google Play Store, com a app falsa chamada Prote\u00e7\u00e3o Cart\u00e3o. O usu\u00e1rio recebe instru\u00e7\u00f5es para instalar o APK manualmente, o que instala o HandyPay malicioso no dispositivo. A engenharia social facilita a instala\u00e7\u00e3o.<\/p>\n
Ap\u00f3s a instala\u00e7\u00e3o, o app tenta tornar-se meio de pagamento padr\u00e3o do celular e solicita o PIN. Com o NFC ativado, o usu\u00e1rio aproxima o cart\u00e3o, permitindo o registro dos dados. O PIN \u00e9 enviado a um servidor de comando e controle.<\/p>\n
Os dados do cart\u00e3o s\u00e3o transmitidos pela pr\u00f3pria infraestrutura do HandyPay comprometido, com o atacante recebendo o tr\u00e1fego. O e-mail do criminoso j\u00e1 vem embutido no c\u00f3digo para direcionar as informa\u00e7\u00f5es ao atacante.<\/p>\n
\u201cCom esses dados, os atacantes podem realizar saques em caixas eletr\u00f4nicos com NFC ou efetuar pagamentos n\u00e3o autorizados\u201d, detalha o pesquisador da ESET. A operabilidade depende da captura simult\u00e2nea de PIN e dados do cart\u00e3o.<\/p>\n
A ESET apontou que a vers\u00e3o maliciosa nunca esteve na loja Google Play oficial. As descobertas foram comunicadas ao Google e aos desenvolvedores do app leg\u00edtimo, para a\u00e7\u00f5es de mitiga\u00e7\u00e3o. O uso de IA no desenvolvimento da amea\u00e7a \u00e9 visto como uma forma de reduzir barreiras t\u00e9cnicas e custos.<\/p>\n","protected":false},"excerpt":{"rendered":"