Uma nova versão da ameaça RedHook foi descoberta a abusar do mecanismo de depuração sem fios para obter privilégios de alto nível no sistema, operando de forma totalmente autónoma. De acordo com um relatório publicado pela Group-IB, a versão mais recente deste malware expande significativamente as capacidades em relação à variante anterior documentada em 2025, mantendo as características de um troiano de acesso remoto capaz de transmitir o ecrã, intercetar toques de teclas e roubar credenciais.
O abuso do ADB sem fios
O Android Debug Bridge (ADB) é uma interface de desenvolvimento da Google que permite controlar um equipamento a partir de uma linha de comandos. Com a introdução da depuração sem fios no Android 11, tornou-se possível executar estas ações sem a presença de um cabo USB. O código malicioso transforma o telemóvel no seu próprio cliente ADB ao enganar a vítima para conceder permissões de Acessibilidade. A partir desta etapa, a aplicação navega nas Definições, ativa as Opções de Programador e liga a depuração sem fios.
A infeção avança com a leitura do código de emparelhamento exibido no ecrã e a ligação ao serviço ADB através da interface de loopback (127.0.0.1). Ao completar o emparelhamento, o código garante privilégios de shell (UID 2000). A ameaça implanta então a estrutura Shizuku no sistema para executar comandos, conceder permissões adicionais a si própria e instalar ou remover aplicações de forma invisível.
Persistência e distribuição da ameaça
A versão atualizada da ferramenta suporta 53 comandos emitidos pelo servidor, permitindo ações como simular gestos no painel tátil, bloquear o telemóvel, recolher mensagens SMS e ativar a câmara remotamente. A persistência é garantida com recurso a reprodução de áudio silenciosa para aumentar a prioridade na memória, o uso de WakeLocks para evitar a suspensão do processador e um mecanismo de redefinição que ajusta o parâmetro oom_score_adj para -1000, contornando o encerramento automático em situações de falta de memória. O código incorpora um alarme de segurança de cinco minutos e um sistema de reinício imediato após o arranque.
A propagação da ameaça ocorre através de esquemas de engenharia social, onde chamadas e mensagens falsas tentam replicar contactos de instituições financeiras ou governamentais, encaminhando as vítimas para páginas que copiam o aspeto da Google Play. A mitigação do risco exige a instalação exclusiva de aplicações a partir da loja oficial, a revisão atenta das permissões solicitadas e a ativação contínua da ferramenta Play Protect no telemóvel.
Nenhum comentário
Seja o primeiro!