Uma nova família de malware Android, promovida como Malware-as-a-Service (MaaS), surgiu em fóruns de cibercrime de língua russa, oferecendo capacidades completas de tomada de controle de dispositivos e fraude em tempo real.
Conhecido como Albiriox, o malware foi projetado para suportar Fraude em Dispositivo (ODF) e já atinge mais de 400 aplicativos bancários e de criptomoedas no mundo todo, segundo um relatório análise publicado pela equipe de Inteligência de Ameaças da Cleafy.
Uma ameaça Android em rápido crescimento, com controle remoto e recursos de coleta de credenciais, a Albiriox passou de uma versão beta privada em setembro de 2025 para um modelo público MaaS lançado em outubro.
Postagens em fóruns mostram operadores promovendo o módulo VNC baseado em acessibilidade do malware, que permite que atacantes interajam remotamente com um dispositivo infectado. O acesso por assinatura foi lançado a $650 por mês antes de subir para $720 após 21 de outubro.
Campanhas iniciais apontam para um lançamento direcionado
A primeira onda de implantação observada parecia limitada em escopo. Uma campanha teve como alvo usuários móveis austríacos por meio de links SMS que levaram a páginas de phishing em alemão. As vítimas foram inicialmente direcionadas para uma falsificação Google Play que distribuía um aplicativo malicioso chamado “Penny Market”, que servia como dropper para a carga útil final do Albiriox.
Mais tarde, os atacantes adotaram um esquema de coleta de números de telefone que entregava links de download via WhatsApp, filtrando as entradas para aceitar apenas números austríacos.
Pesquisadores descobriram que o dropper usava JSONPacker para ofuscar o código subjacente, levando as vítimas a ativarem a permissão “Instalar Apps Desconhecidos” antes de instalar o Albiriox. Uma vez ativo, o malware se conecta ao seu servidor de comando por meio de um canal TCP não criptografado e registra o dispositivo usando identificadores de hardware e sistema operacional.
A investigação mostra que a Albiriox suporta um amplo conjunto de funções que facilitam fraudes, incluindo:
-
Transmissão de tela em tempo real via VNC e visualizações baseadas em acessibilidade
-
Sobreposições de tela preta e atualizações de sistema
-
Automação de interfaces, como cliques, deslizes, entrada de texto e aberturas de aplicativos
Operadores Priorizam a Evasão
Cleafy também identificou discussões em fóruns em que os compradores perguntavam se o Albiriox era totalmente indetectável. Os desenvolvedores responderam destacando um construtor personalizado que integra o serviço de criptografia Golden Crypt para evitar varreduras estáticas.
A empresa concluiu que Albiriox reflete uma mudança acelerada para malwares móveis focados em ODF. Com seu modelo MaaS, cadeia de entrega em dois estágios e ampla lista de segmentos, os analistas esperam que o malware amadureça rapidamente e represente um risco crescente para instituições financeiras em todo o mundo.
“Essa visibilidade multidimensional permite que as instituições financeiras detectem compromissos nos estágios mais iniciais da cadeia de ataque e apliquem políticas de resposta precisas e conscientes do contexto antes que a fraude seja executada”, escreveu Cleafy.
“À medida que as ameaças do banco móvel continuam a amadurecer, a capacidade de orquestrar esses indicadores em defesas acionáveis será essencial para se manter à frente dessa nova classe de malware Android.”