9月末，研究人员在谷歌应用商店发现了一系列针对Pix支付系统和巴西银行的恶意软件，其中一个版本可以直接窃取目标钱包，研究人员将其命名为PixStealer。

新冠加速了银行业数字化进程，在此期间最成功的例子之一是Pix，一项巴西中央银行创建的即时支付解决方案。

Pix于2020年11月发布，现在每天的交易量已达到4000万笔，每周交易总额达到了47亿美元，但同时，黑客也盯上了Pix支付。

PixStealer技术分析

PixStealer恶意软件的内部名称是Pag Cashback 1.4。该软件在谷歌应用商店上伪装成PagBank Cashback进行传播。包名为com.pagcashback.beta，表示应用程序可能仍处于测试阶段。

PixStealer非常小，只具有最低权限，没有与C&C连接，它只有一个功能：将受害者的所有资金转移到攻击者控制的帐户。因此，恶意软件无法通过C&C更新，也无法窃取和上传受害者信息，但却可以保持不被发现。

PixStealer同样适用安卓的可访问性服务。AAS的主要目的是帮助残疾用户更方便地适用安卓设备和应用。当恶意软件诱使目标启用该服务时，应用程序能够读取用户的任何可读取内容，并执行用户可执行的任何操作。

恶意软件会向受害者发送消息，要求激活可访问性服务，获取所谓的“现金返还”功能，该服务名为com.gservice.autobot.Acessibilidade

授权可访问性服务后，恶意软件显示信息的同时调用并打开PagBank进行同步。受害者打开银行帐户并输入凭据后，恶意软件会通过访问权限单击“显示”（下图眼睛图标）按钮来查询受害者的当前余额。