Triada: o trojan de Android que sobrevive à restauração de fábrica
Quase todo conselho sobre um celular Android comprometido termina do mesmo jeito: faça backup e restaure o aparelho. Para a maior parte do malware isso funciona. Para o Triada muitas vezes não, e entender o motivo explica bastante sobre os limites das ferramentas de segurança de consumo.
Analisar meu celularO que torna o Triada diferente
O Triada foi documentado pela primeira vez por pesquisadores da Kaspersky em 2016 e voltou a aparecer em novas variantes desde então. O que o distinguiu desde o início não foi o que ele rouba, mas onde ele se instala. O Android inicia todos os aplicativos a partir de um único processo pai chamado Zygote. Cada app que roda no seu celular nasce dele. O Triada se injeta no Zygote, o que significa que ele fica acima de todos os aplicativos do aparelho e pode alterar o comportamento de qualquer um deles, inclusive o do banco, o de mensagens e o navegador. Ele também é modular. O componente central é pequeno e sua função principal é baixar módulos adicionais de um servidor de controle. O que uma infecção específica faz depende de quais módulos foram entregues, e isso explica por que os relatórios sobre o Triada descrevem comportamentos tão diferentes ao longo dos anos.
Por que a restauração de fábrica muitas vezes não resolve
O Triada já foi encontrado repetidamente pré-instalado no firmware de aparelhos Android baratos e falsificados, introduzido por pontos comprometidos da cadeia de fabricação e distribuição, e não por algo que o dono tenha feito. Quando o componente malicioso fica na partição de sistema, ele não faz parte dos dados de usuário que a restauração de fábrica apaga. A restauração devolve o aparelho ao estado de origem, e esse estado de origem é o infectado. O celular volta limpo dos seus dados e continua comprometido. A consequência prática é incômoda, mas precisa ser dita: em um aparelho com Triada em nível de firmware, nenhum aplicativo de consumo consegue removê-lo, este incluído. A detecção informa que o aparelho está comprometido. A solução passa por substituir o aparelho ou regravar firmware verificado, o que não é uma operação de rotina.
O que ele faz em contexto bancário
Entre as capacidades relatadas do Triada relevantes para fraude financeira estão a interceptação de mensagens SMS, o que inclui os códigos de verificação de uso único; se esconder da lista de aplicativos instalados; baixar e instalar componentes adicionais sem interação do usuário; e substituir endereços de carteiras de criptomoedas, de modo que uma transferência copiada para a área de transferência chega a outro destino. Como o Triada opera a partir do Zygote e não como um app que pede permissões, nada disso depende de você conceder algo. Não existe uma solicitação de acessibilidade que você possa notar e recusar.
O que aparece na rede
Um scanner de arquivos tem um problema estrutural com o Triada: pode não haver nada no armazenamento do usuário para escanear, e o trojan consegue se esconder da própria lista de aplicativos em que apareceria. O que ele não consegue esconder é a conversa com a infraestrutura dele. O desenho modular piora isso para o atacante, não melhora: um componente central cuja função é buscar módulos precisa sair para a rede repetidamente. Os indicadores que nosso motor rastreia para essa família incluem vários subdomínios pseudoaleatórios girando sob um número pequeno de domínios registrados, padrão compatível com nomes de host gerados por algoritmo; pontos de controle hospedados em infraestrutura de nuvem comercial de grande porte, onde o provedor em si não significa nada e apenas os endpoints específicos importam; e intervalos de contato periódicos característicos de um componente que aguarda a entrega de módulos. Não publicamos os valores dos indicadores. Publicá-los avisa aos operadores qual parte da infraestrutura deles está queimada.
Como o SmartScan trata o caso
A varredura captura o tráfego de rede do celular por um túnel criptografado e o processa com o conjunto completo de motores. Os que pesam mais nessa família são a análise temporal e a detecção de beaconing para o padrão de contato periódico, o rastreador de failover de DNS para o comportamento de rotação de nomes, a pontuação de risco por geolocalização e sistema autônomo dos endpoints, e no Android a atribuição por UID de fluxo, que pode indicar qual pacote era dono de uma conexão. Cada alerta do relatório é mapeado para uma técnica documentada do MITRE ATT&CK for Mobile, com marcação de tempo e a evidência anexada. Sendo preciso quanto ao alcance: a análise observa a comunicação de comando e controle e a exfiltração de dados. Ela não intercepta o momento em que uma credencial é capturada, porque em um implante em nível de Zygote isso acontece localmente, sem nenhum evento de rede para observar.
Se uma varredura sinalizar essa família
Não restaure o aparelho primeiro. Em uma infecção em nível de firmware a restauração não ajuda, e em qualquer infecção ela destrói a evidência de que o comprometimento existiu. Guarde o relatório. Se o aparelho for um Android barato ou de mercado paralelo, ou tiver sido comprado usado, o relatório é também o que sustenta uma reclamação contra o vendedor. Se houve movimentação de dinheiro, é o que sustenta a contestação junto ao banco e o boletim de ocorrência. O relatório é elaborado para sustentar análise pericial; a admissibilidade é decidida pelo juízo.