A epidemia de phishing com PWAs: Como páginas falsas de segurança do Google roubam mais que senhas

Uma nova onda de campanhas de phishing sofisticadas está aproveitando a tecnologia de Progressive Web App (PWA) do Android para criar o que pesquisadores de segurança estão chamando de "a nova fronteira do phishing". Esses ataques vão além da coleta tradicional de credenciais para estabelecer instalações persistentes de malware que abusam das permissões do dispositivo para um extenso roubo de dados.

A cadeia de ataque começa com as vítimas recebendo mensagens de phishing—tipicamente via SMS, e-mail ou aplicativos de mensagens—contendo links para páginas falsas de segurança de contas do Google. Essas páginas são meticulosamente elaboradas para imitar páginas legítimas de verificação de segurança do Google, completas com branding familiar, linguagem e elementos de interface projetados para desencadear urgência no usuário. As vítimas são solicitadas a verificar suas contas devido a "atividade suspeita" ou "violações de segurança".

O que distingue esta campanha é a exploração do prompt de instalação de PWA. Quando os usuários acessam a página maliciosa através do Chrome ou outros navegadores compatíveis em dispositivos Android, eles são apresentados a um prompt enganoso para "Instalar aplicativo de segurança" ou "Adicionar à tela inicial para melhor proteção". Isso aproveita o recurso legítimo de instalação de PWA que serviços legítimos como Twitter, Starbucks e o próprio Google usam para melhorar a experiência do usuário.

Uma vez instalada, a PWA maliciosa ganha uma presença permanente na tela inicial da vítima, completa com um ícone de aparência profissional que frequentemente imita aplicativos legítimos do Google ou de segurança. Diferente de páginas de phishing tradicionais que desaparecem após o navegador ser fechado, essas PWAs permanecem acessíveis offline e mantêm seu estado entre sessões.

A sofisticação técnica se estende ao abuso de permissões. Durante o processo de "verificação de segurança", as vítimas são guiadas por múltiplas telas que solicitam permissões cada vez mais intrusivas. Além de roubar credenciais de contas do Google e códigos de autenticação de dois fatores (2FA), esses aplicativos maliciosos solicitam acesso a contatos, dados de localização, câmera, microfone e armazenamento do dispositivo. Algumas variantes até tentam obter acesso a notificações para interceptar mensagens SMS contendo códigos de autenticação de outros serviços.

Isso representa uma mudança de paradigma no phishing móvel. Ataques tradicionais focavam em roubar credenciales durante uma única interação. Esses ataques baseados em PWA estabelecem pontos de apoio persistentes que continuam exfiltrando dados muito tempo após o comprometimento inicial. Os aplicativos maliciosos podem executar processos em segundo plano, monitorar a atividade do usuário e potencialmente servir como pontos de lançamento para cargas úteis adicionais.

O mecanismo de persistência é particularmente preocupante sob uma perspectiva de segurança. Como as PWAs operam dentro de um contexto do navegador, mas aparecem como aplicativos independentes, elas frequentemente escapam do escrutínio de soluções de segurança projetadas para monitorar instalações de aplicativos nativos. Usuários acostumados a instalar PWAs de fontes confiáveis podem não reconhecer os indicadores sutis de intenção maliciosa.

Os desafios de detecção são agravados pela natureza legítima da tecnologia subjacente. As Progressive Web Apps representam avanços genuínos em tecnologia web, oferecendo experiências semelhantes a aplicativos nativos sem exigir distribuição via lojas de aplicativos. Essa utilidade legítima cria uma camuflagem perfeita para atores maliciosos que podem implementar os mesmos padrões técnicos enquanto incorporam funcionalidade maliciosa.

As equipes de segurança devem atualizar seus modelos de ameaça para considerar ataques baseados em PWA. Indicadores técnicos incluem solicitações de permissões incomuns de aplicativos web, instalações de PWA originadas de domínios não corporativos e ícones na tela inicial que não correspondem a aplicativos aprovados. O monitoramento de rede deve observar a exfiltração de dados para domínios desconhecidos a partir do que parece ser tráfego do navegador.

A educação do usuário permanece crítica, mas requer mensagens atualizadas. Conselhos tradicionais sobre "instalar apenas aplicativos de lojas oficiais" não são mais suficientes, já que as PWAs contornam deliberadamente os controles das lojas de aplicativos. Em vez disso, os usuários devem ser treinados para examinar prompts de instalação de sites, verificar URLs antes de conceder permissões e questionar por que uma verificação de segurança exigiria instalar um aplicativo separado.

As organizações devem considerar controles técnicos como restringir capacidades de instalação de PWA em dispositivos gerenciados, implementar políticas de segurança do navegador que limitem concessões de permissão e implantar soluções de segurança capazes de analisar o comportamento de PWAs. Soluções de gerenciamento de dispositivos móveis (MDM) podem precisar de atualizações para categorizar e controlar adequadamente as instalações de PWA juntamente com aplicativos tradicionais.

O surgimento do phishing baseado em PWA representa mais do que apenas outro vetor de ataque—significa a convergência de ameaças baseadas em web e aplicativos. À medida que as linhas entre navegadores e sistemas operacionais continuam a se desfazer, as abordagens de segurança devem evoluir de acordo. Esta campanha demonstra que os atacantes adotam rapidamente tecnologias legítimas para fins maliciosos, exigindo que profissionais de segurança fiquem à frente tanto da adoção tecnológica quanto da inovação dos atacantes.

Olhando para o futuro, a comunidade de segurança antecipa uma exploração similar de outras tecnologias web emergentes. As mesmas características que tornam as PWAs valiosas para desenvolvedores legítimos—fácil distribuição, compatibilidade multiplataforma e capacidades aprimoradas—também as tornam atraentes para atores de ameaças. Medidas de segurança proativas devem incluir monitoramento de padrões incomuns de adoção de PWA, análise de tendências de abuso de permissões e desenvolvimento de capacidades de detecção especializadas para mecanismos de persistência baseados na web.

Por enquanto, esta campanha serve como um lembrete contundente de que a conscientização sobre segurança deve acompanhar o ritmo da evolução tecnológica. Os próprios recursos projetados para melhorar a experiência e conveniência do usuário estão sendo transformados em armas contra os usuários, exigindo vigilância renovada tanto das equipes de segurança quanto dos usuários individuais.