Aplicativos na Google Play escondem trojan bancário e driblam sistemas de segurança
Aplicativos maliciosos presentes na Google Play estão recorrendo a “loaders” furtivos para instalar Anatsa, um sofisticado trojan bancário para Android capaz de comprometer contas financeiras e dados sensíveis dos usuários. A campanha se apoia em apps aparentemente legítimos, que funcionam como porta de entrada discreta para a infecção.
Um dos casos analisados envolve um leitor de PDF adulterado. Para o usuário, tudo parece normal: o app é instalado, abre normalmente e exibe a interface esperada. Porém, pouco depois da primeira execução, o programa apresenta uma suposta solicitação de atualização, solicitando a instalação de um “componente adicional” para continuar funcionando. Ao aceitar, o usuário, na prática, prepara o dispositivo para receber o malware bancário.
Esse modelo de ataque permite que o aplicativo publicado na loja aparenta ser inofensivo durante as verificações de segurança automatizadas e até em análises mais superficiais. O código malicioso principal não está presente ou não é ativado de imediato. Somente após a instalação e em condições específicas definidas pelos criminosos é que o comportamento malicioso é liberado, o que dificulta a detecção prévia.
Outro loader identificado foi encontrado no aplicativo Cleanova. Nesse caso, o app utiliza SDKs de análise e monitoramento incorporados para coletar diferentes tipos de informações, entre elas dados que permitem deduzir a origem da instalação, o tipo de dispositivo, a região do usuário e possivelmente o perfil de uso. Esses dados são enviados para um servidor de comando e controle (C2), operado pelos criminosos.
Com base nessas informações, o servidor decide se vale a pena ou não entregar a carga maliciosa – isto é, o trojan bancário. Se a instalação não se encaixa nos critérios definidos pelos atacantes (por exemplo, se parece ser um ambiente de análise, emulador ou origem suspeita para eles), o código permanece “adormecido”. Essa abordagem reduz drasticamente as chances de que ferramentas automatizadas, mecanismos de sandbox ou analistas de segurança identifiquem a ameaça durante testes de rotina.
Caso o Anatsa seja, de fato, instalado, o risco se torna elevado. O trojan bancário tem como foco principal o roubo de credenciais e dados usados em acessos a serviços financeiros, aplicativos de bancos, carteiras digitais e plataformas de pagamento. Ele pode registrar toques na tela, sobrepor janelas para capturar logins e senhas, interceptar códigos de autenticação e até auxiliar na realização de transações fraudulentas em nome da vítima.
Os números mostram que esse tipo de ameaça não é pontual. Trojans bancários representaram 30,77% de todos os aplicativos maliciosos detectados no segundo trimestre de 2026. No mesmo período, foram bloqueados mais de 1,99 milhão de ataques envolvendo malware, adware ou softwares indesejados voltados a dispositivos móveis. Também foram identificados 93.574 pacotes de instalação relacionados especificamente a trojans bancários, evidenciando uma cadeia de distribuição ativa e bem estruturada.
O uso de loaders em apps aparentemente inofensivos indica uma profissionalização crescente do cibercrime mobile. Em vez de publicar diretamente o trojan bancário – algo mais fácil de ser barrado por filtros automáticos -, os criminosos fragmentam a operação: primeiro distribuem um aplicativo limpo ou quase limpo, aprovam a entrada na loja oficial e só depois fazem a entrega seletiva do malware. Essa técnica, conhecida como “dropper” ou “loader furtivo”, costuma ser combinada com atualizações remotas de código, o que possibilita mudar a carga maliciosa ao longo do tempo sem necessidade de reenviar o app original.
Para usuários finais, o cenário é particularmente perigoso porque o selo de estar na Google Play costuma passar sensação de segurança e legitimidade. No entanto, embora a loja oficial seja mais segura do que fontes alternativas e arquivos instalados manualmente, ela não é imune a abusos. Golpistas investem em descrição convincente, ícone profissional, avaliações falsas e comentários manipulados para dar aparência de confiabilidade aos aplicativos.
Alguns sinais podem ajudar a identificar possíveis apps maliciosos ou suspeitos: pedidos de permissão excessivos em relação à função do aplicativo (por exemplo, leitor de PDF querendo acesso a SMS ou à lista de contatos), insistência em atualizações fora da própria loja, janelas de “atualização” que se parecem mais com instaladores independentes e redirecionamentos constantes para downloads externos. Variações repentinas no comportamento do dispositivo, como aumento de consumo de bateria, lentidão atípica ou tráfego de dados anormal, também podem indicar a presença de malware.
Para reduzir o risco de infecção por trojans bancários como o Anatsa, é recomendável adotar algumas práticas básicas de segurança digital no celular:
– Evitar instalar aplicativos pouco conhecidos apenas por indicação de anúncios ou promoções agressivas.
– Ler com atenção permissões solicitadas durante a instalação e negar o que não fizer sentido para a função do app.
– Desconfiar de qualquer pedido de “atualização urgente” que não passe pelo mecanismo padrão da loja oficial.
– Manter o sistema operacional e os apps atualizados, preferindo sempre atualizações distribuídas pelo próprio fornecedor.
– Utilizar soluções confiáveis de segurança móvel, capazes de detectar comportamentos suspeitos mesmo em aplicativos aparentemente legítimos.
Do lado das empresas, o crescimento desse tipo de ameaça exige políticas claras de uso de dispositivos móveis, especialmente em ambientes corporativos que adotam BYOD (Bring Your Own Device). Celulares pessoais utilizados para acessar e-mails corporativos, sistemas internos ou contas de empresa em bancos podem se tornar ponto de entrada para invasões e fraudes financeiras se estiverem comprometidos por malware bancário.
Também é importante que instituições financeiras reforcem mecanismos de proteção em seus próprios aplicativos, implementando múltiplos fatores de autenticação, detecção de dispositivos suspeitos, limitação de transações em aparelhos recém-cadastrados e monitoramento de comportamento anômalo nas contas. Medidas como essas dificultam a ação de trojans que tentam automatizar operações fraudulentas em segundo plano.
A tendência é que campanhas como a do Anatsa continuem evoluindo, explorando novas técnicas de ofuscação, detecção de ambientes de análise e personalização de alvos. Criminosos buscam perfis de vítimas com maior potencial de lucro – como usuários que movimentam altos valores, têm múltiplas contas ou trabalham em áreas sensíveis. Quanto mais dados os loaders conseguirem coletar sobre o dispositivo e o contexto de uso, mais assertiva se torna a seleção de quem será efetivamente infectado.
Em paralelo, desenvolvedores legítimos também têm um papel na proteção do ecossistema. Ao integrar SDKs de análise, publicidade ou monitoramento, é fundamental auditar a procedência desses componentes, entender quais dados eles coletam e garantir que não abram brechas para comportamentos indesejados. Componentes de terceiros mal verificados podem servir de porta de entrada para funcionalidades abusivas ou ser explorados por atacantes em fases posteriores.
Em resumo, o caso do Anatsa demonstra que a segurança em dispositivos móveis não pode se basear apenas na origem do aplicativo, mesmo quando ele vem de uma loja oficial. A combinação de loaders furtivos, distribuição em massa e ativação seletiva do código malicioso cria um cenário em que a vigilância do usuário, as boas práticas de desenvolvimento e as medidas de proteção adotadas por lojas e instituições financeiras precisam atuar em conjunto para reduzir o impacto dos trojans bancários em larga escala.