Malware para Android.

O malware para Android varia desde fraude publicitaria e trojans de SMS premium ate trojans bancarios, spyware e ferramentas de acesso remoto. Entre as familias bem documentadas estao o Joker (fraude de SMS premium, encontrado repetidamente na Google Play), Anubis e Cerberus (trojans bancarios que abusam dos servicos de acessibilidade para sobrepor telas de phishing e roubar OTPs enviados por SMS), BRATA (RAT bancario capaz de restaurar o dispositivo para as configuracoes de fabrica) e SharkBot (trojan bancario que utiliza sistemas de transferencia automatizada, ATS, para iniciar transferencias fraudulentas).

Duas campanhas ilustram a escala do problema. O FluBot, um worm de smishing visto pela primeira vez em dezembro de 2020, propagava-se enviando mensagens de texto com links falsos de entrega de encomendas e de correio de voz que instalavam um APK e, em seguida, coletava os contatos para reenviar-se por SMS; em 2022, uma operacao em 11 paises coordenada pelo EC3 da Europol desmantelou sua infraestrutura. O GriftHorse, documentado pela Zimperium zLabs em 2021, usou cerca de 200 aplicativos de aparencia inofensiva para inscrever um numero estimado em mais de 10 milhoes de usuarios em mais de 70 paises em servicos premium com custo aproximado de 30 EUR por mes.

O padrao de distribuicao predominante hoje e um "dropper" benigno que passa pela revisao da Google Play e, em seguida, instala via sideload a carga util real e solicita o Accessibility Service para ler a tela, preencher automaticamente transferencias fraudulentas e fechar suas proprias caixas de dialogo de desinstalacao. Familias como Anatsa (TeaBot) e Xenomorph aperfeicoaram esse caminho.

Defesas: manter-se na Google Play com a verificacao em tempo real do Play Protect, usar as Configuracoes Restritas do Android 13+ (que impedem que aplicativos instalados via sideload acessem a Acessibilidade e o Notification Listener), manter o sistema operacional atualizado e aplicar EMM/MDM com atestacao Play Integrity nos dispositivos corporativos.

flowchart TD
  A[App dropper passa pela<br/>revisao da Google Play] --> B[Usuario instala pela<br/>Play ou por SMS de phishing]
  B --> C[App instala via sideload<br/>a carga util real]
  C --> D{Usuario concede o<br/>Accessibility Service?}
  D -->|Nao| E[Malware insiste com<br/>falsos avisos do sistema]
  E --> D
  D -->|Sim| F[Le a tela, injeta<br/>sobreposicoes, preenche automaticamente]
  F --> G[Rouba OTP / credenciais<br/>Sistema de transferencia automatizada]
  G --> H[Transferencia fraudulenta<br/>ou assinatura premium]