Trickmo

Pesquisadores de cibersegurança identificaram uma nova versão do trojan bancário TrickMo, que utiliza a blockchain TON para suas comunicações de comando e controle. Observada entre janeiro e fevereiro de 2026, essa variante tem como alvo usuários de bancos e carteiras de criptomoedas na França, Itália e Áustria. O TrickMo, ativo desde 2019, é um malware que se aproveita dos serviços de acessibilidade do Android para sequestrar senhas de uso único (OTPs) e possui uma gama de funcionalidades, como phishing de credenciais, registro de teclas e interceptação de mensagens SMS. A nova versão, chamada TrickMo C, é distribuída por meio de aplicativos dropper que se disfarçam como versões de TikTok e Google Play Services. Uma mudança significativa na arquitetura do malware é a implementação de um proxy SOCKS5, que transforma dispositivos comprometidos em nós de saída de rede, permitindo que o tráfego malicioso seja roteado sem ser detectado. Além disso, o TrickMo inclui funcionalidades inativas que podem ser ativadas no futuro, indicando uma intenção de expandir suas capacidades. Essa evolução no malware representa um risco elevado, especialmente para instituições financeiras e usuários de criptomoedas, devido à sua capacidade de operar de forma furtiva e eficiente.

Uma nova variante do malware TrickMo, focada em bancos, foi identificada em campanhas que visam usuários na Europa, especialmente na França, Itália e Áustria. Desde sua primeira aparição em setembro de 2019, o TrickMo tem passado por constantes atualizações e agora se disfarça como aplicativos populares, como TikTok e plataformas de streaming. A análise da ThreatFabric revela que essa versão, chamada ‘Trickmo.C’, utiliza a rede descentralizada The Open Network (TON) para comunicações furtivas com seus operadores, dificultando a identificação e bloqueio do servidor. O malware é modular e opera em duas etapas: um APK que atua como carregador e um segundo APK que executa funções ofensivas, como roubo de credenciais bancárias, keylogging e interceptação de SMS. Novas capacidades incluem suporte a proxy SOCKS5 e tunelamento SSH. Os usuários de Android são aconselhados a baixar aplicativos apenas do Google Play e a manter o Play Protect ativo para se proteger contra essa ameaça crescente.