Vocês se lembram do HummingBad? Falamos sobre esse malware pela primeira vez em meados do ano passado, e ele prejudicou mais de 85 milhões de dispositivos. Um problema importante por trás de qualquer malware é que ele só precisa de modificações básicas para se tornar algo diferente, e assim chegamos ao HummingWhale, que conseguiu se infiltrar na Google Play Store. Os aplicativos infectados foram baixados pelo menos dois milhões de vezes e, apesar das mudanças, o objetivo é o mesmo: gerar lucro com publicidade e aplicativos falsos.
Os usuários de Android são um alvo muito tentador, e nunca faltam ocasiões em que um desenvolvedor malicioso consegue esconder seu código dentro do que parece ser um aplicativo legítimo. Trata-se de uma corrida armamentista para o Google. O gigante de Mountain View é bastante bom em detectar aplicativos infectados, mas uma vez que o outro lado assimila seus métodos, faz de tudo para evadir e inserir seu malware. O último relatório publicado pela equipe da Check Point nos fala de uma nova campanha sob o nome HummingWhale. Se o nome é familiar, é porque estamos diante de uma variante do famoso HummingBad, com a diferença de que é muito mais esperto.
No total, foram detectados vinte aplicativos com HummingWhale integrado, e foram baixados entre dois e doze milhões de vezes. A Check Point seguiu essa família de malware durante meses e determinou que, em vez de buscar acesso root no dispositivo, o HummingWhale aplica técnicas associadas a máquinas virtuais. Quando o usuário tenta fechar a publicidade maliciosa do HummingWhale, o malware baixa aplicativos indesejados dentro dessa máquina virtual e cria uma identificação falsa que lhe permite obter lucros adicionais abusando de referências. O uso de uma máquina virtual elimina a necessidade do root e, como se não bastasse, o HummingWhale pode publicar comentários e pontuações falsas com o objetivo de melhorar a reputação dos aplicativos infectados na loja.
O relatório da Check Point possui a lista completa de aplicativos, mas, em essência, eles começam com "com" e terminam com "camera" (por exemplo, "com.note.ocean.camera"). Como era de se esperar, o Google já retirou os aplicativos em questão, e a Check Point oferece um aplicativo compatível capaz de detectar esse tipo de infecção, assim como o Lookout, um de seus concorrentes diretos.
