O malware NGate volta a atuar no Brasil ao usar uma página falsa da Loterj e uma cópia da Google Play para distribuir uma versão maliciosa do HandyPay. O objetivo é capturar PINs e dados de pagamento via NFC, para saques e transações não autorizadas. A leitura é da empresa de cibersegurança ESET.
A campanha segmenta usuários Android no Brasil. O NGate já tinha sido identificado pela ESET em 2024, com atividade na República Tcheca desde 2023 e expansão para a América Latina em 2024. A variante brasileira utiliza o HandyPay como porta de entrada.
O código malicioso tem indícios de uso de Inteligência Artificial gerativa, conforme logs analisados pela ESET. Emojis aparecem nos textos gerados pelo malware, sugerindo automação na criação de instruções e mensagens. A equipe ressalta o avanço técnico com IA no desenvolvimento de ameaças.
Como funciona o ataque
A distribuição ocorre por dois vetores hospedados no mesmo domínio. Um deles é uma página falsa que imita a Loterj, apresentando um jogo de raspadinha com prêmio fixo de R$ 20 mil. A vítima é convidada a enviar mensagens no WhatsApp para prosseguir.
Outra via envolve uma cópia da Google Play Store, com a app falsa chamada Proteção Cartão. O usuário recebe instruções para instalar o APK manualmente, o que instala o HandyPay malicioso no dispositivo. A engenharia social facilita a instalação.
Após a instalação, o app tenta tornar-se meio de pagamento padrão do celular e solicita o PIN. Com o NFC ativado, o usuário aproxima o cartão, permitindo o registro dos dados. O PIN é enviado a um servidor de comando e controle.
Os dados do cartão são transmitidos pela própria infraestrutura do HandyPay comprometido, com o atacante recebendo o tráfego. O e-mail do criminoso já vem embutido no código para direcionar as informações ao atacante.
“Com esses dados, os atacantes podem realizar saques em caixas eletrônicos com NFC ou efetuar pagamentos não autorizados”, detalha o pesquisador da ESET. A operabilidade depende da captura simultânea de PIN e dados do cartão.
Pontos adicionais
A ESET apontou que a versão maliciosa nunca esteve na loja Google Play oficial. As descobertas foram comunicadas ao Google e aos desenvolvedores do app legítimo, para ações de mitigação. O uso de IA no desenvolvimento da ameaça é visto como uma forma de reduzir barreiras técnicas e custos.
Entre na conversa da comunidade