Malware no Android remove o app do banco e instala uma cópia falsa
Um trojan bancário para Android chamado Hirudo combina roubo de credenciais com recursos de acesso remoto. O método mais incomum usado pelo malware é retirar do celular o aplicativo bancário legítimo e colocar em seu lugar uma versão fraudulenta, preparada para imitar o original e capturar informações da vítima.
A análise do Hirudo foi divulgada pela empresa de segurança ThreatFabric em 14 de outubro. A infecção começa por aplicativos que aparentam oferecer compras, vídeos adultos ou séries curtas. Entre as iscas identificadas estão Shopora, 1V1 X, ZoyaTV e KoiShort.
Esses aplicativos verificam se o trojan já está instalado no aparelho. Caso não esteja, exibem uma mensagem falsa sugerindo que é necessário fazer uma atualização. A suposta atualização, porém, leva à instalação de outro pacote, que contém o malware.
Como o aplicativo bancário é substituído
Depois de instalado, o Hirudo utiliza os recursos de acessibilidade do Android para identificar aplicativos bancários específicos. O trojan confere o certificado de assinatura do app verdadeiro e, em seguida, mostra um aviso enganoso de atualização. A mensagem conduz o usuário ao desinstalador oficial do sistema para remover o aplicativo legítimo.
Na sequência, o malware tenta instalar uma cópia fraudulenta com o mesmo nome de pacote e a mesma versão do programa original. A réplica, entretanto, é assinada com uma chave de teste pública, e não com a chave privada do banco.
A remoção do app verdadeiro é necessária porque o Android não permite que um aplicativo com assinatura diferente seja instalado por cima do original como se fosse uma atualização. Essa etapa também representa uma oportunidade para interromper o ataque: o usuário pode cancelar a desinstalação ou não autorizar a instalação do pacote seguinte.
Uma vez aberta, a cópia usa mecanismos para ocultar sinais de fraude e contornar verificações. O sistema de interceptação foi construído com base nos projetos de código aberto YAHFA e Dobby. Entre outras ações, ele pode devolver ao aplicativo a informação de que a assinatura é legítima, mesmo quando não é.
O Hirudo também pode apresentar uma lista vazia de serviços de acessibilidade, retirar uma restrição que impede capturas de tela e encaminhar parte das verificações do Play Integrity para um servidor controlado pelos operadores. Essas técnicas dificultam a identificação da fraude e podem ajudar o aplicativo falso a se comportar como o programa esperado.
Alvos e alcance da operação
O conjunto analisado inclui oito réplicas prontas, destinadas a usuários de sete bancos da Indonésia. O roubo de credenciais também mira pessoas na China, Índia, México, Marrocos e Tailândia. Até o momento descrito pela análise, não havia casos relatados no Brasil. A tela fraudulenta de pagamento identificada no esquema exibe a marca de um banco da Malásia.
Registros do servidor do grupo, coletados em agosto de 2026, continham milhares de credenciais, dados de dispositivos e perfis financeiros, segundo a ThreatFabric. A empresa também informou que o conjunto de chaves de atestação empregado na operação havia sido exposto publicamente e que pelo menos dois certificados relacionados apareciam na lista de revogação do Google.
Como reduzir o risco
Para diminuir a possibilidade de infecção, instale aplicativos apenas por lojas oficiais e confira com atenção o nome do desenvolvedor, as avaliações e as permissões solicitadas. Um app de entretenimento ou compras que peça acesso à acessibilidade, por exemplo, deve ser tratado com cautela: esse recurso pode permitir que um programa controle partes da interface e execute ações em nome do usuário.
Desconfie de avisos que mandem instalar uma atualização por meio de um arquivo baixado fora da loja oficial. Atualizações de aplicativos bancários devem ser feitas pelos canais legítimos, sem seguir instruções exibidas por programas desconhecidos ou mensagens inesperadas.
Se o Android solicitar a remoção do aplicativo do banco, não prossiga sem verificar o motivo. Cancele a operação e procure o banco usando um canal oficial, como o telefone impresso no cartão ou o atendimento dentro do site digitado manualmente. Não use números ou botões fornecidos por uma tela suspeita.
Quem acredita ter instalado uma cópia falsa deve evitar abrir o aplicativo ou informar senhas, códigos temporários e dados financeiros. O ideal é entrar em contato com o banco por outro dispositivo confiável, solicitar o bloqueio preventivo de acessos e revisar transações recentes. Também é importante remover o programa suspeito e executar uma verificação de segurança no aparelho.
Senhas reutilizadas em outros serviços devem ser trocadas, especialmente se foram digitadas depois da infecção. Sempre que possível, ative autenticação em duas etapas e alertas de movimentação. Essas medidas não substituem a proteção do banco, mas podem limitar os prejuízos caso uma credencial seja comprometida.