À medida que mais pessoas usam aplicativos em seus dispositivos móveis, os cibercriminosos continuam a desenvolver novos métodos para explorar vulnerabilidades de aplicativos. Em 2022, os ataques cibernéticos aumentaram 38% em relação ao ano anterior e o número de novas variantes de malware móvel aumentou 54% em 2019. A Promon, tecnologia de proteção de aplicativos, testou recentemente 357 jogos móveis Android de alto rendimento para fazer engenharia reversa ou manipular aplicativos. Surpreendentemente, 81% (289) dos aplicativos não mostraram nenhuma defesa contra esses ataques e não conseguiram detectar um dispositivo comprometido.
Aplicativos indefesos
No exame de quatro etapas da Promon, um dos testes envolveu o “repackaging”, técnica usada por atores mal-intencionados para modificar o código-fonte existente de aplicativos móveis. Com essa técnica, os hackers podem inserir seu próprio código no código-fonte de um aplicativo e realizar tarefas adicionais em segundo plano fora das funções pretendidas do aplicativo.
Isso abre a porta para os cibercriminosos roubarem credenciais de login do usuário por meio de uma tática chamada preenchimento de credenciais.
Surpreendentemente, os testes revelaram que 84% das aplicações não tinham a capacidade de detetar se o seu código fonte tinha sido injetado com código prejudicial, deixando-as vulneráveis a uma série de ataques cibernéticos.
Apenas 15,7% (56) dos aplicativos implantaram qualquer forma de detecção de reempacotamento, tornando-os a exceção e não a regra.
– Anúncio –
A empresa também avaliou vulnerabilidades de aplicativos relacionadas a estruturas de conexão que são utilizadas para monitorar, modificar e redirecionar eventos em um aplicativo móvel.
Os testes da Promon reembalaram quase 85% de todos os apps testados
Fonte: Promon
Desenvolvedores sérios e especialistas em segurança os utilizam para identificar vulnerabilidades e atividades maliciosas. No entanto, eles também podem ser usados para fins malévolos, como roubar dados confidenciais.
Apenas 5 a 8% dos aplicativos testados conseguiram proteger contra ataques por meio de estruturas.
Por fim, apenas um aplicativo conseguiu detectar a presença de um dispositivo com acesso root, deixando a grande maioria desprotegida e suscetível a uma série de violações de segurança.
13% dos aplicativos com receita anual de US$ 100 milhões ou mais conseguiram detectar o framework de hooking Frida, embora nenhum tenha conseguido detectar o LSposed.
Fonte: Promon
Por que os desenvolvedores devem enfrentar os ataques cibernéticos
O crime cibernético relacionado a jogos pode ser catastrófico para desenvolvedores e editores. Quando os jogos não proporcionam uma experiência segura, a confiança do consumidor diminui e os desenvolvedores acabam por fazer menos vendas e ver os seus downloads diminuir.
“Ficamos surpresos com quantos jogos para celular apresentavam uma lacuna na proteção cibernética. Do ponto de vista técnico, não são ataques complexos”, afirma Benjamin Adolphi, chefe de pesquisa de segurança da Promon.
“Essas são ferramentas e técnicas básicas utilizadas pelos cibercriminosos todos os dias, e a proteção contra elas deve ser uma prioridade para os desenvolvedores ao criar esses aplicativos. Ao mesmo tempo que atraem milhões de jogadores, as empresas de jogos móveis devem considerar colmatar a lacuna entre a proteção das aplicações móveis e garantir que todos os jogadores desfrutem do jogo. Fazer isso não apenas protegerá a experiência do jogo, mas também garantirá que as empresas de jogos defendam suas marcas e aumentem suas receitas”.
Ferramentas como o hooking podem modificar o código do jogo e dar aos jogadores uma vantagem injusta, fazendo com que os desenvolvedores percam receita, pois os jogadores podem cancelar as compras no jogo.
Pior ainda, estruturas de hooking podem ser utilizadas para extrair dados confidenciais, como código proprietário de jogos, dados de usuários ou chaves criptográficas, expondo os desenvolvedores a riscos de segurança e roubo de IP. Se os jogos forem conhecidos por serem vulneráveis, eles correm o risco de perder a reputação e a confiança dos jogadores, causando danos permanentes aos resultados financeiros do desenvolvedor.
Principais conclusões
81% dos aplicativos testados não apresentaram defesa contra ataques cibernéticos 84% dos aplicativos não tinham a capacidade de detectar se seu código-fonte havia sido injetado com código prejudicial Apenas 15,7% dos aplicativos implantaram alguma forma de detecção de reempacotamento
source – www.businessofapps.com
