Ameaças à sua cripto: trojans

Quando se fala em malware no universo das criptomoedas, muita gente pensa em mineradores escondidos ou extorsionistas que exigem moedas para desbloquear o computador. No entanto, existem outros aplicativos que podem ser usados para roubar seus ativos ou sua seed phrase.

Malwares podem roubar ativos, descobrir frases mnemônicas ou até instalar firmware modificado em carteiras de hardware (em teoria). Vamos entender como funcionam e quais métodos usam para invadir seu dispositivo.

Como funcionam

Os atacantes usam trojans para instalar malware sem serem detectados. Assim como o Cavalo de Troia, a chave da estratégia é se passar por algo útil e seguro — pode ser um aplicativo, um jogo ou um documento. Também pode acontecer de não conter nada malicioso no momento da infiltração. Só depois, de forma automática ou controlada pelo invasor, é feito o download do “payload”, que executa as ações desejadas pelos hackers. Esses trojans são chamados de "downloaders". Existem também os “droppers”, que já vêm com aplicativos maliciosos embutidos, sem baixar nada. Existem muitos tipos de trojans, mas conhecer esses dois já é suficiente para nosso propósito. 

Como se espalham

Os atacantes costumam usar engenharia social e técnicas de phishing. Por exemplo, criam sites falsos de aplicativos conhecidos, hospedando kits de instalação infectados. Outro método é o envio de e-mails supostamente do desenvolvedor do software, incentivando o destinatário a instalar uma atualização ou baixar uma versão “corrigida”. Nesse caso, o aplicativo até funciona normalmente, mas o malware também é instalado no computador ou no celular.

Outro método de entrega envolve lojas oficiais de apps. Os atacantes criam uma utilidade simples para Android, enviam para análise da loja e aguardam instalações. No entanto, conseguir aprovação nas lojas é difícil, então o APK infectado geralmente é distribuído por plataformas alternativas.

Alguns trojans se espalham sozinhos. Por exemplo, o trojan Emotet acessa os dados do Outlook nos computadores infectados e envia um arquivo infectado ou um link para os contatos da agenda do usuário.

E as criptos?

Existem várias situações em que trojans podem ser usados para roubar seus criptoativos. Alguns anos atrás, pesquisadores da Kaspersky Lab descobriram o trojan CryptoShuffler. O malware era simples: após ser instalado no computador da vítima, monitorava a área de transferência e, ao detectar algo parecido com um endereço de carteira de Bitcoin, Ethereum, Zcash, Monero, Dash ou Dogecoin, substituía pelo endereço dos atacantes. Quando o CryptoShuffler foi identificado, os criminosos já tinham roubado US$ 140.000 (mais de meio milhão de dólares em valores atuais).

Veja um exemplo mais recente. Pesquisadores da ESET encontraram vários sites hospedando versões falsas e trojanizadas dos apps Telegram e WhatsApp. Alguns desses trojans agiam como o CryptoShuffler, enquanto outros eram projetados para identificar seed phrases. Eles faziam isso de uma forma interessante: buscavam imagens em computadores e celulares e usavam OCR para encontrar textos que parecessem seed phrases. O alvo eram usuários que tiraram print ou foto da frase mnemônica ao criar suas carteiras.

Os trojans nem sempre roubam dados “diretamente” — também podem ser parte de ataques em várias etapas. Por exemplo, um trojan que infectou o celular da vítima pode detectar quando o aparelho está na rede doméstica e tentar adivinhar a senha do roteador. Se conseguir, altera o servidor DNS para o endereço do atacante. Assim, a vítima pode ser facilmente redirecionada para sites falsos de carteira cripto em vez dos reais. 

Hackeando carteiras de hardware

Hackear uma carteira de hardware é algo possível apenas em teoria — nunca foi feito na prática. Saleem Rashid, que conseguiu hackear a Ledger Nano S, descreveu um possível plano de ataque: um trojan é instalado no computador e espera o usuário conectar sua carteira. Em seguida, exibe um aviso solicitando atualização do firmware do dispositivo. Se o usuário aceitar, o malware instala um software modificado na carteira. 

É importante esclarecer que este é um cenário puramente hipotético, apresentado numa época em que a Nano S era vulnerável a esse tipo de ataque. Desde então, vários updates de firmware corrigiram as falhas identificadas. Mesmo assim, não se pode descartar totalmente a possibilidade, já que novas vulnerabilidades podem surgir e serem exploradas antes de serem corrigidas pelo fabricante.

Como se proteger

É importante entender que existem muitos tipos de malware criados para roubar criptoativos. Um spyware, por exemplo, pode ser configurado para tirar prints assim que você acessar um site de serviço cripto. Se você decidir criar uma nova wallet, os atacantes podem capturar uma captura de tela contendo a seed phrase.

Outro detalhe preocupante é que, com o tempo, a barreira de entrada para novos “negócios” está cada vez menor. Alguns tipos de malware podem ser comprados prontos e adaptados conforme a necessidade do comprador.

Veja algumas dicas para manter sua segurança. Você provavelmente já conhece, mas ainda são as melhores ferramentas disponíveis:

• Instale um antivírus confiável (o Windows Security não é suficiente). Até a versão gratuita já ajuda.
• Não instale aplicativos baixados fora das lojas oficiais no seu smartphone. Se o site de um app conhecido sugerir baixar um arquivo APK, redobre a atenção.
• Não instale versões piratas de softwares pagos. Não há garantia de que o “repacker” não inseriu um trojan.
• Evite usar smartphones “rootados” para lidar com cripto. Permissões de superusuário facilitam a instalação de malware.
• Sempre instale as atualizações (ao menos as de segurança), por mais incômodas que sejam. Updates corrigem as falhas exploradas por trojans.
• Nem precisa dizer: use carteiras frias confiáveis como a Tangem Wallet. Nossa wallet tem certificação EAL6+ e não pode ser hackeada. E o dono não precisa se preocupar com seed phrase — a Tangem não utiliza uma.