Se você costuma baixar aplicativos fora da Play Store ou confia cegamente em links enviados no Telegram, acenda o sinal de alerta agora mesmo. Uma investigação da Group-IB revelou que cibercriminosos estão espalhando o malware Wonderland por meio de apps falsos clonados de softwares populares. O golpe sequestra mensagens SMS, dribla a internet e dá acesso a credenciais bancárias, colocando em risco qualquer usuário de Android — inclusive quem utiliza autenticação em duas etapas.
O que é o malware Wonderland?
Identificado pela primeira vez em novembro de 2023, o Wonderland funciona como um dropper. Ele se esconde em versões piratas de apps legítimos, pede permissões avançadas e, depois, libera um payload capaz de rodar mesmo offline. Resultado: o atacante passa a monitorar o aparelho em tempo real, interceptando SMS de validação, copiando contatos, ocultando notificações de segurança e até disparando mensagens para contaminar novos alvos.
Por que o Telegram virou peça-chave no ataque?
O mensageiro é utilizado como centro de comando. Depois que o telefone é infectado, o Wonderland cria um canal direto com servidores controlados pelos hackers via Telegram. Dessa forma, os criminosos conseguem:
- Receber dados roubados sem levantar suspeitas;
- Enviar comandos adicionais ao aparelho comprometido;
- Abusar da reputação do Telegram para burlar filtros de segurança.
Como os hackers enganam as vítimas
A campanha foi detectada primeiro no Uzbequistão, mas especialistas temem expansão global. Os vetores incluem:
- Links em grupos de Telegram prometendo versões “premium” de apps famosos;
- Anúncios no Facebook e perfis falsos em apps de namoro;
- Contas de Telegram roubadas vendidas na dark web, usadas para enviar o .APK malicioso a contatos confiáveis.
Como esses aplicativos não estão na Play Store, o usuário precisa habilitar a instalação de “fontes desconhecidas”. É aí que a engenharia social entra: um passo aparentemente inofensivo concede ao malware liberdade total dentro do sistema.
Quais informações o Wonderland rouba?
Assim que ganha acesso, o dropper solicita permissões para:
- Ler e enviar SMS (principal alvo: códigos de autenticação em duas etapas);
- Acessar lista de contatos e números de telefone;
- Desativar notificações de antivírus e sistema.
<li Sequestro completo do número, permitindo clonar a linha em outro dispositivo;
Praticamente qualquer serviço que dependa de SMS para confirmar transações — internet banking, carteiras de criptomoedas, apps de jogos como Steam Guard — fica vulnerável.
Imagem: William R
Impacto prático: do gamer ao investidor
• Jogadores: a interceptação de SMS pode permitir que invasores acessem contas da Xbox Live, PSN ou Steam e revendam itens raros.
• Investidores: códigos de corretoras e carteiras de criptomoedas podem ser redirecionados, facilitando saques não autorizados.
• Usuários comuns: pagamentos via PIX e aplicativos bancários tornam-se alvos fáceis.
Como se proteger (sem virar paranoico)
1. Instale apps só pela Play Store. O Google Play Protect não é perfeito, mas filtra a maior parte dos APKs maliciosos.
2. Nunca habilite “fontes desconhecidas” a menos que confie 100 % na procedência.
3. Prefira autenticação via aplicativo ou chave de segurança FIDO2 (ex.: YubiKey) em vez de SMS.
4. Mantenha Android e apps de segurança atualizados, inclusive firmware de roteadores.
5. Desconfie de “versões PRO de graça” ou descontos mirabolantes em grupos de Telegram.
Vale a pena investir em hardware de segurança?
SMS é conveniente, mas vulnerável. Chaves físicas como YubiKey 5 NFC ou dongles compatíveis com FIDO2 — facilmente encontrados na Amazon Brasil — armazenam sua credencial localmente e exigem toque físico para autorizar o login. É um gasto único que pode evitar prejuízos bancários e a perda de contas de jogos que custaram anos para montar.
Em um cenário onde golpes evoluem na velocidade dos servidores de nuvem, a melhor defesa é combinar desconfiança saudável com boas práticas de segurança. Se a oferta parece boa demais ou exige permissões excessivas, pense duas vezes antes de tocar em “Instalar”.
Com informações de Hardware.com.br
