Corp MDM: O aplicativo de trabalho falso que queria ler suas mensagens de texto

Autora : Katie Boquetti | Editorial : Craig Taylor

Editorial de Craig Taylor:

Já sabíamos há algum tempo aqui no CyberHoot que a programação baseada em IA (às vezes chamada de programação intuitiva) abriria mais portas para ataques cibernéticos do que gostaríamos. Este malware corporativo para MDM parece ter sido programado usando IA pelos atacantes, dado o número de bugs encontrados no produto final. O uso de ferramentas de programação com IA implica uma de várias possibilidades: os hackers estavam com pressa e pouco tempo para testes, ou não tinham conhecimento técnico suficiente para testar adequadamente, ou talvez fossem novatos em programação em geral (possivelmente em programação intuitiva ). Embora a causa dos bugs seja incerta, o que está claro é o objetivo específico dos atacantes: atingir empresas de logística para roubar mensagens de texto (incluindo códigos MFA por SMS), encaminhar chamadas telefônicas e comprometer dispositivos. Esses dados roubados podem ajudar os atacantes a roubar sua carga, seu dinheiro e sua reputação. Esses atacantes também hospedaram páginas de login falsas que permitiam aos usuários inserir códigos de autenticação, levando ao roubo de suas contas. Essa é mais uma razão pela qual sou tão fã de um método de MFA mais robusto chamado passkeys , já que esses métodos não teriam utilidade alguma em páginas de login de sites falsos.

O artigo do blog desta semana contém mensagens simples e claras que você pode compartilhar com sua equipe: nunca instale aplicativos por fora da documentação original, adote métodos de autenticação multifator robustos e ensine os funcionários a relatar rapidamente possíveis ataques como este, para que o alerta seja acionado e os detalhes sejam compartilhados com todos os membros da equipe.

— Craig

---

As equipes de logística mantêm caminhões, navios e remessas em movimento, cumprindo prazos apertados, e uma nova campanha de spyware para Android está tentando se aproveitar desses dias agitados. Pesquisadores de segurança do Have I Been Squatted descobriram um aplicativo malicioso chamado Corp MDM , que se passa por um software de gerenciamento de dispositivos corporativos. Uma vez instalado via sideloading , ele copia novas mensagens de texto e encaminha chamadas telefônicas para criminosos. A boa notícia é que alguns hábitos simples podem impedir esse ataque antes mesmo que ele comece, e você não precisa de um grande orçamento de segurança para implementá-los.

Como o truque funciona

Os criminosos criaram páginas falsas na Google Play Store usando os nomes e marcas de duas empresas de logística reais, CEVA Logistics e TKW Logistics. Os funcionários que visitam essas páginas encontram um aplicativo chamado Corp MDM, cujo nome imita o software de gerenciamento de dispositivos que muitas empresas exigem que seus funcionários instalem em celulares corporativos. Como o arquivo não vem da Google Play Store oficial, a vítima precisa instalá-lo manualmente, um processo chamado de instalação por fora (vários sinais de alerta aqui). Após a instalação, o aplicativo solicita permissão para ler mensagens de texto, gerenciar chamadas telefônicas e exibir notificações. Em seguida, ele oculta seu ícone da tela inicial e continua sendo executado em segundo plano. Dica : Aplicativos legítimos de empresas são disponibilizados por meio das lojas de aplicativos oficiais ou pelo seu contato de TI; portanto, um link para uma página de download especial é um sinal para você parar e pedir permissão antes de instalar qualquer coisa.

O que o aplicativo faz depois de entrar

O Corp MDM se comunica com o servidor do atacante a cada 30 segundos e aguarda ordens. O aplicativo envia todas as novas mensagens de texto recebidas para o criminoso, incluindo quem as enviou, o conteúdo e a hora de recebimento. Ele ativa o encaminhamento de chamadas, fazendo com que todas as chamadas recebidas toquem no telefone do atacante em vez do seu. Além disso, o aplicativo se autoexclui sob comando para remover evidências. Uma boa notícia é que o malware captura apenas as mensagens de texto recebidas após a instalação, mantendo suas mensagens antigas privadas. Pesquisadores também encontraram diversos bugs no código e acreditam que o autor do malware provavelmente utilizou ferramentas de IA para escrevê-lo. Até mesmo criminosos distribuem softwares com bugs. Seus códigos, por mais rudimentares que sejam, ainda funcionam bem o suficiente para roubar mensagens, portanto, qualquer aplicativo que solicite permissão para ler suas mensagens de texto e gerenciar suas chamadas merece uma segunda análise antes de você clicar em "Permitir".

Por que mensagens de texto e chamadas são importantes

Muitos bancos, provedores de e-mail e aplicativos empresariais ainda enviam senhas de uso único por SMS. Códigos de redefinição de senha e recuperação de conta geralmente chegam da mesma forma. Quando um criminoso lê essas mensagens, uma senha roubada se transforma em uma invasão completa da conta. O encaminhamento de chamadas adiciona outra via de acesso, já que alguns serviços verificam sua identidade com uma ligação telefônica automatizada. Na área de logística, as mensagens de texto também carregam detalhes de despacho e entrega, o que ajuda criminosos a redirecionar faturas ou roubar cargas. Dica: Códigos enviados por SMS são melhores do que não ter uma segunda etapa no login, mas usar um aplicativo autenticador ou uma chave de acesso oferece uma proteção mais robusta contra golpes como este.

Parte de um padrão maior

O mesmo servidor por trás do Corp MDM também hospeda páginas de login falsas e malware para Windows direcionado ao setor de logística. Pesquisadores apontam indícios de uma conexão armênia ou russa, embora ninguém tenha confirmado quem comanda a operação. No final de 2025, a Proofpoint relatou que criminosos estavam instalando ferramentas de acesso remoto em empresas de transporte rodoviário para roubar cargas. No início de 2026, pesquisadores descreveram um grupo chamado Diesel Vortex, que usou um serviço de phishing chamado MC Profit Always para roubar mais de 1,600 logins do setor. O objetivo em todos os casos era o dinheiro, por meio de faturas redirecionadas, corretores falsos e frete roubado. O setor de logística atrai criminosos porque o trabalho logístico envolve movimentação de dinheiro e mercadorias, e saber disso ajuda as equipes a identificar golpes mais rapidamente.

Passos simples que você pode dar hoje

Comece treinando sua equipe sobre a origem dos aplicativos corporativos. Uma mensagem simples como "Nunca enviaremos links para instalar softwares de trabalho" estabelece uma regra clara que todos lembrarão. Em seguida, desative a instalação de fontes desconhecidas nos celulares Android da empresa, opção que a maioria dos aparelhos encontra nas configurações de Segurança ou Aplicativos. Se você já utiliza um gerenciador de dispositivos móveis, verifique se há uma configuração para bloquear instalações de aplicativos de fontes desconhecidas para todos. Depois, migre suas contas mais importantes, começando por e-mail e serviços bancários, de códigos SMS para senhas (ou, se as senhas não estiverem disponíveis, para um aplicativo autenticador ) ou token de hardware. Por fim, pergunte à sua operadora como confirmar se o encaminhamento de chamadas está desativado e revise as permissões dos aplicativos mensalmente, verificando se algum deles lê mensagens de texto ou gerencia chamadas sem uma justificativa clara.

Sua próxima diversão

Escolha um hábito deste artigo e experimente esta semana. Compartilhe a regra de usar apenas aplicativos oficiais com sua equipe na próxima reunião ou migre o acesso às contas de e-mail da sua empresa para (1) chaves de acesso ou (2) aplicativos autenticadores. Pequenas mudanças fazem a diferença, e cada escolha mais segura hoje coloca você à frente de ontem. Os vídeos de treinamento curtos e fáceis de entender e as simulações de phishing do CyberHoot ajudam toda a sua equipe a criar esses hábitos sem medo ou vergonha. Ria, aprenda e use o CyberHoot!

---

Perguntas Frequentes (FAQ)

P: O que é MDM corporativo?
A: Corp MDM é um spyware para Android disfarçado de software de gerenciamento de dispositivos corporativos. Ele copia novas mensagens de texto e encaminha chamadas telefônicas para criminosos.

P: Quem são os alvos dos atacantes?
A: Funcionários de empresas de logística e transporte de cargas. As páginas de download falsas usam os nomes CEVA Logistics e TKW Logistics.

P: O Corp MDM aparece na Google Play Store verdadeira?
A: Não. Criminosos hospedam o aplicativo em páginas falsas da Google Play, e as vítimas precisam instalá-lo manualmente. Use uma solução MDM legítima para bloquear instalações por fora da loja oficial e impedir esse ataque. Não tem MDM? Oriente sua equipe a clicar em Cancelar em qualquer aviso de "Instalar aplicativos desconhecidos".

P: Por que os criminosos querem minhas mensagens de texto?
A: Muitos serviços enviam códigos de login, redefinição de senha e códigos de recuperação por SMS. A leitura dessas mensagens permite que um criminoso assuma o controle de contas protegidas por esses códigos.

P: Como posso verificar se meu telefone está infectado?
A: Procure por um aplicativo que você não reconheça com permissão para ler mensagens de texto e gerenciar chamadas, uma notificação em segundo plano que você nunca configurou ou chamadas que param de chegar até você. ObservaçãoEste aplicativo oculta seu ícone, portanto, verifique em Configurações > Aplicativos. Se algo parecer errado, avise seu contato de TI, remova o aplicativo, desative o encaminhamento de chamadas (na maioria das operadoras, discar *#21# verifica se o encaminhamento de chamadas está ativado e ##21# o desativa, mas consulte sua operadora para ter certeza) e altere as senhas das contas usando códigos enviados por SMS. Relatar o problema o quanto antes protege toda a sua equipe, e não há vergonha nenhuma em pedir ajuda.

---

Fontes:

The Hacker News: Spyware corporativo de MDM ataca empresas de logística, rouba novos SMS e redireciona chamadas.

---

Proteja seu negócio com a CyberHoot hoje mesmo!