Um recém-descoberto Trojan bancário AndroidFvncBot, emergiu como uma ameaça sofisticada visando usuários de serviços bancários móveis na Polônia.
Os investigadores da Intel 471 identificaram este malware pela primeira vez em 25 de novembro de 2025, disfarçado como uma aplicação de segurança do mBank, uma das instituições bancárias mais proeminentes da Polónia.
Novo malware com recursos avançados
O FvncBot representa uma variedade inteiramente nova de malware para Android, diferenciando-se das ameaças anteriores por não depender do código-fonte vazado de outros trojans bancários como Ermac ou Hook.
O malware recebeu o nome de seu identificador de pacote de aplicativos “com.fvnc.app” e demonstra considerável sofisticação técnica em seu design e execução.
De acordo com Intel471o malware opera por meio de um processo de infecção em dois estágios. Um aplicativo carregador solicita que os usuários instalem o que parece ser um “componente Play” legítimo para fins de segurança e estabilidade.
Uma vez ativado, o carregador implanta a carga útil do FvncBot, que foi armazenada sem criptografia nos ativos do aplicativo.
Ambos os componentes foram ofuscados usando o serviço de criptografia apk0day, operado por um ator conhecido como GoldenCrypt.
O FvncBot explora os serviços de acessibilidade do Android, originalmente projetados para ajudar usuários com deficiência, para implementar recursos abrangentes de keylogging.
O malware monitora silenciosamente as interações do usuário, capturando informações confidenciais de campos de texto, incluindo senhas e códigos de senha de uso único.
Os dados capturados se acumulam em um buffer que contém até 1.000 itens antes de serem transmitidos aos invasores por meio de solicitações HTTP.
Ataques de injeção na Web
O malware realiza ataques de injeção na Web, criando janelas sobrepostas que exibem páginas de phishing quando as vítimas iniciam ataques direcionados. aplicações bancárias.
Essas páginas fraudulentas são carregadas em componentes WebView e usam interfaces JavaScript personalizadas para coletar credenciais quando os usuários enviam suas informações.
A lista de aplicativos direcionados e phishing Os URLs são recebidos do servidor de comando e controle e armazenados localmente nos dispositivos infectados.
O FvncBot permite que invasores controlem remotamente dispositivos infectados por meio de conexões WebSocket. Os operadores podem realizar vários gestos, incluindo deslizar, clicar e rolar, para navegar pelas telas dos dispositivos.
Eles podem iniciar aplicativos, inserir dados arbitrários em campos de texto e até mesmo manipular a área de transferência.
Para ocultar atividades fraudulentas, o malware pode bloquear dispositivos, silenciar o áudio e exibir sobreposições pretas.
O malware implementa streaming de tela usando a API MediaProjection com codificação de vídeo H.264, resultando em um uso de largura de banda mais eficiente em comparação aos métodos tradicionais de streaming baseados em JPEG.
Além disso, o FvncBot apresenta um “modo de texto” ou funcionalidade de computação de rede virtual oculta que reconstrói telas de dispositivos analisando elementos da interface do usuário por meio de serviços de acessibilidade, ignorando medidas de prevenção de captura de tela.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.