Um um trojan bancário que visa dispositivos Android pede às vítimas para que tirem uma selfie com os seus documentos de identificação. A equipe do McAfee Labs, Mobile Research Team, descobriu o aplicativo malicioso, que é uma nova variante do trojan Acecard Malware (conhecido como Torec) que foi identificado pela primeira vez em fevereiro.

Além de pedir detalhes do cartão de crédito e informações, como "nome de solteira da mãe" o aplicativo oferece um suposto recurso de confirmação de identidade, que pede o upload de fotos de documentos de identidade, como uma carteira de motorista, juntamente com uma selfie do usuário segurando o documento.

Como ocorre no caso de muitos cavalos de tróia, o Acecard instala-se levando o usuário a pensar que eles estão instalando um codec de vídeo ou algum aplicativo para assistir vídeos adultos. Uma vez que está instalado no dispositivo Android, o malware pede privilégios de administrador, e então é executado em segundo plano enquanto monitora aplicações específicas.

Em seguida, o Acecard exibe uma sobreposição que imita o Google Play, porém trata-se de uma tela de de phishing, pedindo um número de cartão de crédito. Isso inclui pedidos de nome, data de nascimento, número de telefone, data de validade do cartão, e CCV. Ele também irá solicitar autenticação de dois fatores para alguns cartões. Para aqueles que vivem em Hong Kong, é solicitada uma cópia do cartão HK ID, enquanto os cidadãos de Cingapura encontram um pedido para adicionar o seu cartão de Registro Nacional e passaporte.

Neste ponto, o malware solicita selfies dos usuários com os seus documentos. As vítimas que chegam até este ponto provavelmente só perceberão que algo está errado quando as suas contas bancárias são esvaziados e cartões de crédito estourados.

Trojans bancários como Acecard estão constantemente evoluindo e melhorando seus ataques de engenharia social para obter o máximo de informação confidencial possível. Os atacantes querem não só informações de cartão de crédito e diferentes fatores de autenticação para serviços financeiros, mas também um retrato da vítima com documento para acessar remotamente a sistemas diferentes.

Para proteger-se contra ameaças como essa, valem as dicas de sempre - utilizar softwares de segurança no celular, evitar o download e instalação de aplicativos a partir de fontes não confiáveis, e não confiar em telas de apps que solicitam informações pessoais e financeiras.