Aplicativos na Google Play passam por avaliações de segurança, mas criminosos continuam encontrando brechas para disseminar ameaças sofisticadas. Uma nova onda de ataques está explorando justamente essa confiança: apps aparentemente inofensivos estão servindo como porta de entrada para o Anatsa, um trojan bancário para Android capaz de comprometer contas e operações financeiras das vítimas.
Os golpistas têm adotado uma tática mais discreta do que simplesmente publicar um app malicioso pronto na loja. Em vez disso, utilizam “loaders” furtivos – pequenos módulos presentes em aplicativos legítimos ou modificados – que funcionam como uma espécie de cavalo de Troia. O código inicialmente disponível na Google Play parece seguro e passa pelos filtros automáticos, mas, depois de instalado no dispositivo alvo, ele baixa e ativa o malware bancário.
Um dos casos identificados envolve um leitor de PDF alterado. Para o usuário, tudo aparenta normalidade ao abrir o app. Logo em seguida, surge uma suposta notificação de atualização, pedindo permissão para instalar um “componente adicional”. Essa etapa é o ponto crítico: ao aceitar a atualização falsa, o usuário, na prática, autoriza a preparação do ambiente para receber o Anatsa.
Essa abordagem em duas fases torna a detecção muito mais complexa. Como o aplicativo publicado na loja não possui, de início, funcionalidades abertamente maliciosas, ele tende a escapar dos mecanismos de varredura automática. O comportamento realmente perigoso só é ativado após a instalação, e ainda assim apenas para vítimas consideradas interessantes pelos operadores do ataque, como pessoas com maior probabilidade de movimentar valores significativos ou acessar múltiplos serviços bancários.
Outro exemplo de loader identificado foi o aplicativo Cleanova. Diferentemente do leitor de PDF, esse app não parte diretamente para o pedido de uma atualização falsa. Antes, ele coleta informações fornecidas por SDKs de análise incorporados ao próprio aplicativo. Esses SDKs são rotineiramente usados por desenvolvedores para entender o comportamento dos usuários, mas, nesse contexto, são abusados pelos criminosos para obter dados que indiquem a origem da instalação, o tipo de dispositivo e outros detalhes relevantes.
Os dados coletados são então enviados a um servidor de comando e controle, infraestrutura controlada pelos operadores do malware. É esse servidor que avalia, com base em critérios definidos pelos criminosos, se o dispositivo em questão deve ou não receber a carga maliciosa. Caso o alvo não atenda aos parâmetros estabelecidos – por exemplo, se a instalação foi feita em um ambiente de teste ou em um país que não interessa à campanha – o código malicioso permanece “adormecido”.
Essa seleção de alvos é um dos elementos que mais dificulta a detecção em análises automatizadas. Sistemas de segurança, sandboxes e soluções de análise comportamental frequentemente utilizam ambientes de teste padronizados. Como o trojan bancário não é acionado quando percebe que a origem ou o perfil da instalação não batem com o que os criminosos buscam, muitos desses processos concluem que o aplicativo é apenas mais um app comum.
Quando o Anatsa é finalmente instalado em um dispositivo considerado valioso, o cenário muda completamente. O trojan é projetado para apoiar o roubo de credenciais e dados sensíveis utilizados no acesso a serviços financeiros, como bancos, carteiras digitais e aplicativos de pagamento. Ele pode interceptar informações digitadas, registrar toques na tela, sobrepor telas falsas sobre aplicativos legítimos ou abusar de permissões de acessibilidade para capturar tudo o que o usuário faz ao tentar autenticar uma transação.
Com essas informações em mãos, golpistas conseguem realizar operações fraudulentas, desde transferências bancárias não autorizadas até compras em nome da vítima. Em muitos casos, as ações são automatizadas, o que acelera o processo de fraude e dificulta que o usuário ou o próprio banco percebam a invasão a tempo de bloquear a movimentação.
Os números recentes reforçam a dimensão do problema. No segundo trimestre de 2026, trojans bancários representaram 30,77% de todos os aplicativos maliciosos detectados para dispositivos móveis. No mesmo período, foram bloqueados mais de 1,99 milhão de ataques envolvendo malware, adware ou outros programas indesejados destinados a smartphones e tablets. Além disso, foram identificados 93.574 pacotes de instalação vinculados especificamente a trojans bancários, evidenciando que esse tipo de ameaça segue sendo uma das principais prioridades dos cibercriminosos.
Esse cenário mostra que a confiança cega na curadoria das lojas oficiais deixou de ser suficiente como única barreira de segurança. Embora instalar apps apenas pela Google Play continue sendo uma prática muito mais segura do que baixar APKs de fontes desconhecidas, não é mais garantia absoluta de proteção. Criminosos têm refinado técnicas de engenharia social, abusado de recursos legítimos de desenvolvimento e investido em campanhas de longa duração, que mesclam apps úteis com comportamentos maliciosos ativados apenas sob condições específicas.
Para o usuário comum, a principal defesa começa com a atenção aos detalhes. Desconfie de aplicativos pouco conhecidos com número reduzido de avaliações ou comentários genéricos demais. Leia as permissões solicitadas: um leitor de PDF que pede acesso amplo a serviços de acessibilidade, SMS, chamadas telefônicas ou dados de uso do dispositivo deve acender um sinal de alerta. Atualizações inesperadas fora dos canais oficiais também são um indicador de risco, especialmente quando surgem logo após a primeira abertura do app.
Empresas e profissionais de segurança, por sua vez, precisam repensar estratégias de proteção para dispositivos móveis corporativos. Isso inclui políticas de instalação restritiva (permitindo apenas apps previamente aprovados), monitoramento contínuo de comportamento anômalo em smartphones usados para acessar contas empresariais e integração de soluções de segurança móvel com sistemas de detecção de fraudes financeiras. O objetivo é reduzir a exposição de funcionários a aplicativos potencialmente alterados e minimizar o impacto caso um dispositivo seja comprometido.
Outro ponto essencial é a educação do usuário. Orientar clientes e colaboradores sobre sinais típicos de malware bancário, como telas de login diferentes do padrão, solicitações frequentes de reautenticação ou pedidos para conceder permissões adicionais, pode evitar que etapas críticas da infecção sejam concluídas. Muitas campanhas dependem de um único clique equivocado – por exemplo, ao aceitar uma “atualização obrigatória” – para ganhar controle sobre o dispositivo.
No lado dos bancos e instituições financeiras, cresce a adoção de mecanismos adicionais de segurança, como autenticação multifator robusta, análise de comportamento transacional e detecção de dispositivos suspeitos. Mesmo que o trojan consiga capturar credenciais, o uso de camadas extras, como biometria combinada a tokens dinâmicos e validação de contexto (localização, horário, valor), ajuda a bloquear tentativas de fraude realizadas por malwares como o Anatsa.
É importante entender também que esse tipo de ameaça tende a evoluir rapidamente. Hoje, loaders furtivos e seleção de alvos baseada em telemetria de SDKs são estratégias em destaque, mas novas técnicas podem surgir a qualquer momento. Desenvolvedores legítimos precisam revisar com atenção os componentes de terceiros que integram em seus apps, garantindo que bibliotecas e SDKs utilizados sejam confiáveis e atualizados, reduzindo brechas que possam ser exploradas por atacantes.
No fim das contas, a presença de trojans bancários escondidos em aplicativos da Google Play evidencia que a segurança em dispositivos móveis exige uma combinação de fatores: rigor na análise das lojas oficiais, boas práticas de desenvolvimento, soluções de proteção especializadas e, principalmente, um usuário mais crítico e atento. Enquanto houver dinheiro em jogo e brechas a explorar, criminosos continuarão investindo em campanhas como as que distribuem o Anatsa – e a melhor resposta passa por fortalecer cada elo dessa cadeia de defesa digital.