Os investigadores da ESET detectaram uma campanha maliciosa ativa desde o início de 2022, levada a cabo pelo grupo de cibercriminosos Bahamut, que tem como objetivo roubar dados sensíveis de vítimas com smartphones Android através de aplicações de VPN falsas.

De acordo com os especialistas, grupo Bahamut recorre frequentemente a mensagens de spearphishing, assim como a aplicações falsas, como vetor de ataque inicial contra entidades e indivíduos no Médio Oriente e Ásia do Sul. As aplicações detetadas na campanha apresentam-se como versões modificadas de dois serviços legítimos, SoftVPN e OpenVPN, que contêm código de spyware do grupo.

Tem um smartphone Android? Há uma campanha maliciosa que rouba dados através de VPNs falsas
Tem um smartphone Android? Há uma campanha maliciosa que rouba dados através de VPNs falsas Website falso utilizado pelos cibercriminosos para distribuir apps maliciosas. créditos: ESET

A ESET identificou pelo menos oito versões das apps maliciosas personalizadas com mudança de código e atualizadas através de um website de distribuição, que toma o nome SecureVPN.

Apesar do seu nome, o website utilizado para distribuir as aplicações maliciosas não está ligado ao serviço legítimo SecureVPN. Segundo os investigadores, nenhuma das aplicações de VPN falsas chegou a estar disponível na Play Store da Google.

Através das aplicações os cibercriminosos podem roubar contactos, SMS, chamadas telefónicas gravadas, além de mensagens do WhatsApp, Messenger, Signal, Viber e Telegram.

Embora não tenham detetado instâncias de atividade da campanha de malware, os investigadores acreditam que os cibercriminosos estão a realizar “tentativas de infiltração altamente direcionadas”.