Malware no Android remove o aplicativo bancário e instala uma cópia falsa
Um trojan chamado Hirudo combina fraude bancária e acesso remoto para assumir o controle de celulares Android. Em vez de apenas exibir uma tela falsa sobre o aplicativo legítimo, o malware pode removê-lo do aparelho e colocar em seu lugar uma versão adulterada, preparada para capturar informações e contornar verificações de segurança.
A infecção começa com aplicativos que imitam serviços de compras, vídeos adultos ou séries curtas. Entre os nomes identificados estão Shopora, 1V1 X, ZoyaTV e KoiShort. Esses programas funcionam como iscas: verificam se o Hirudo já está instalado e, caso não esteja, apresentam um aviso enganoso de atualização. Ao aceitar a suposta atualização, a pessoa instala outro pacote – dessa vez, o que contém o trojan.
Depois de obter acesso aos recursos de acessibilidade do Android, o malware procura no dispositivo o aplicativo bancário que deseja atacar. Ele também confere o certificado usado para assinar o app verdadeiro. Em seguida, mostra uma mensagem falsa de atualização e abre a tela de desinstalação do sistema para remover o programa original.
A cópia maliciosa é instalada logo depois. Embora apareça com o mesmo nome de pacote e a mesma versão do aplicativo legítimo, ela é assinada com uma chave pública de teste. O Android não permite que essa versão substitua diretamente o app do banco: como as assinaturas são diferentes, é necessário apagar primeiro o aplicativo autêntico.
Essa etapa pode servir de alerta decisivo. O sistema pede que o usuário confirme a desinstalação e, depois, a instalação do novo pacote. Se a solicitação surgiu inesperadamente, o mais seguro é interromper o processo, cancelar a remoção e não prosseguir com a instalação. O banco não deve ser reinstalado por meio de um arquivo oferecido por um aplicativo desconhecido ou por uma mensagem suspeita.
Uma vez aberta, a versão falsa usa mecanismos de interceptação baseados nos projetos de código aberto YAHFA e Dobby. Com eles, o Hirudo tenta fazer o aplicativo adulterado parecer confiável: quando consultado sobre sua assinatura, o programa pode devolver o certificado legítimo do banco. O malware também informa que não há serviços de acessibilidade ativos, remove a proteção que impede capturas de tela e encaminha parte das verificações do Play Integrity a um servidor controlado pelos operadores.
O conjunto analisado inclui oito réplicas direcionadas a sete bancos da Indonésia. As campanhas de roubo de credenciais identificadas miravam usuários na China, Índia, México, Marrocos e Tailândia. Não havia registro de casos no Brasil no relato disponível, e uma das telas falsas de pagamento empregava a identidade visual de um banco malaio. Isso não significa, porém, que usuários brasileiros estejam automaticamente protegidos: ameaças podem mudar de alvo e adaptar os aplicativos usados como isca.
Dados de servidores associados à operação, coletados em agosto de 2026, continham milhares de credenciais, informações de dispositivos e perfis financeiros, segundo os pesquisadores que examinaram o caso. A análise também apontou que um conjunto de chaves de atestação empregado no esquema havia sido exposto publicamente e que ao menos dois certificados relacionados apareciam em uma lista de revogação do Google.
Como se proteger
Instale aplicativos bancários somente pela loja oficial do Android ou pelos canais indicados pelo próprio banco. Antes de baixar, confira o nome do desenvolvedor, a quantidade de downloads, as avaliações e se o aplicativo corresponde exatamente ao serviço procurado. Esses sinais não garantem segurança, mas ajudam a identificar imitações evidentes.
Desconfie de programas de entretenimento ou compras que peçam para instalar uma “atualização” por fora da loja oficial. Também trate com cautela solicitações inesperadas de acessibilidade: esse recurso pode permitir que um aplicativo leia o conteúdo da tela, pressione botões e execute ações em nome do usuário.
Se o Android abrir a tela de desinstalação do aplicativo do banco sem que você tenha iniciado essa ação, não confirme. Feche o processo e evite informar senhas, códigos de autenticação ou dados de cartão. Bancos não precisam que seus clientes removam o aplicativo legítimo para instalar uma atualização enviada por outro programa.
Caso a cópia suspeita já tenha sido instalada, não acesse a conta bancária pelo celular comprometido. Use outro dispositivo confiável para contatar o banco, bloquear temporariamente o acesso ou alterar credenciais, conforme orientação da instituição. Também é recomendável revisar transações recentes e avisar o banco imediatamente sobre qualquer operação desconhecida.
Por fim, mantenha o Android e os aplicativos atualizados, remova programas que não reconhece e revise periodicamente as permissões concedidas. Uma atualização legítima deve vir de um canal confiável; diante de pedidos incomuns, interromper a instalação é mais seguro do que tentar descobrir depois se o aplicativo era verdadeiro.