Investigadores em cibersegurança alertaram esta sexta-feira para uma nova campanha de ciberataques que está a explorar a plataforma Hugging Face como repositório para distribuir milhares de variantes de malware em dispositivos Android. O objetivo é claro: roubar credenciais de acesso a serviços financeiros, recorrendo a trojans de acesso remoto e a técnicas avançadas de dissimulação, segundo o ‘El Economista’.
A Hugging Face é uma plataforma de código aberto amplamente utilizada para alojar modelos de aprendizagem automática e inteligência artificial, permitindo a partilha de modelos, conjuntos de dados e aplicações. No entanto, essa natureza aberta está agora a ser explorada por agentes maliciosos para alojar e disseminar cargas úteis perigosas, contornando os mecanismos automáticos de controlo de conteúdos.
Malware distribuído a partir de infraestrutura legítima
De acordo com investigadores da empresa de cibersegurança Bitdefender, citados pelo ‘El Economista’, os atacantes estão a usar a Hugging Face para alojar milhares de variantes maliciosas de ficheiros APK, associados a uma campanha de distribuição de trojans de acesso remoto para Android.
O ataque combina engenharia social com o uso abusivo da infraestrutura da plataforma, incluindo a sua rede de distribuição de conteúdos, permitindo que o malware seja descarregado a partir de fontes aparentemente legítimas e, assim, com menor probabilidade de ser bloqueado por sistemas de segurança tradicionais.
O engodo começa com um falso alerta de segurança
O esquema tem início com campanhas de “scareware”, anúncios concebidos para alarmar os utilizadores, levando-os a acreditar que os seus dispositivos estão infetados ou apresentam problemas graves. A partir daí, as vítimas são persuadidas a instalar uma aplicação aparentemente legítima chamada TrustBastion.
Este aplicativo apresenta-se como uma solução gratuita de cibersegurança, prometendo detetar fraudes, mensagens suspeitas e tentativas de phishing. Apesar de não conter código malicioso na versão inicial, após a instalação exige uma suposta atualização obrigatória, redirecionando o utilizador para uma página falsa que imita a loja Google Play.
Hugging Face como elo crítico do ataque
A atualização não descarrega diretamente o malware. Em vez disso, o processo encaminha o dispositivo para um servidor associado ao TrustBastion, que por sua vez redireciona para um repositório da Hugging Face onde se encontra alojada a carga útil maliciosa.
É a partir desse repositório que o trojan é descarregado, utilizando a infraestrutura da própria plataforma. Para evitar a deteção, os atacantes recorrem a uma técnica de polimorfismo do lado do servidor, gerando novas variantes do malware a cada cerca de 15 minutos, mantendo a lógica central mas alterando o código o suficiente para escapar aos sistemas de análise.
Serviços de acessibilidade usados como arma
Depois de instalado, o trojan entra na segunda fase do ataque, explorando os Serviços de Acessibilidade do Android. O malware disfarça-se de funcionalidade de “Segurança do Telefone” e conduz o utilizador a ativar permissões que lhe permitem capturar o ecrã, monitorizar a atividade e impedir a sua própria desinstalação.
Com esse acesso, o software malicioso consegue recolher dados sensíveis, incluindo credenciais de serviços financeiros. Em alguns casos, faz-se passar por aplicações populares de pagamento, como Alipay ou WeChat, para capturar códigos de desbloqueio e informações de autenticação.
Os dados roubados são depois enviados para um servidor central de comando e controlo, a partir do qual os atacantes gerem tanto a distribuição do malware como a exfiltração da informação.
Repositório removido, mas ameaça persiste
A Bitdefender revelou que, no momento da investigação, o repositório malicioso tinha cerca de 29 dias e acumulava mais de seis mil alterações. Após ter sido eliminado no final de dezembro, o conteúdo reapareceu num novo repositório associado a outra aplicação Android, denominada Premium Club.
Depois de alertada para a situação, a Hugging Face removeu o repositório identificado, mas os investigadores alertam que a campanha demonstra como plataformas legítimas de tecnologia podem ser exploradas como armas digitais, tornando a deteção e a prevenção destes ataques cada vez mais complexas.
