{"id":68764,"date":"2026-10-15T14:00:00","date_gmt":"2026-10-15T17:00:00","guid":{"rendered":"https:\/\/jornal24horas.com.br\/?p=68764"},"modified":"2026-10-15T14:00:00","modified_gmt":"2026-10-15T17:00:00","slug":"novo-virus-para-android-troca-aplicativos-de-bancos-para-roubar-senhas","status":"publish","type":"post","link":"https:\/\/jornal24horas.com.br\/?p=68764","title":{"rendered":"Novo v\u00edrus para Android troca aplicativos de bancos para roubar senhas"},"content":{"rendered":"

Um novo v\u00edrus voltado para celulares Android<\/b> passou a usar uma t\u00e1tica avan\u00e7ada para roubar dados banc\u00e1rios: o programa malicioso remove os aplicativos leg\u00edtimos das institui\u00e7\u00f5es financeiras e instala vers\u00f5es modificadas no lugar.<\/b> Batizado de \u201cHirudo\u201d<\/b>, o malware atua para desativar os mecanismos internos de prote\u00e7\u00e3o dos bancos e <\/b>garantir acesso total ao aparelho das v\u00edtimas.<\/b><\/p>\n\n

<\/div>\n

O alerta foi emitido pela empresa de seguran\u00e7a cibern\u00e9tica ThreatFabric, em relat\u00f3rio<\/a> publicado nesta quarta-feira (14). O ataque come\u00e7a quando o usu\u00e1rio baixa aplicativos aparentemente inofensivos de compras, v\u00eddeos ou entretenimento, descobriram os pesquisadores. Escondido nesses programas, o v\u00edrus exibe uma falsa notifica\u00e7\u00e3o de atualiza\u00e7\u00e3o para induzir a v\u00edtima a conceder permiss\u00f5es do sistema.<\/b> Com o acesso liberado, ele baixa a vers\u00e3o alterada do app banc\u00e1rio, abre a tela de desinstala\u00e7\u00e3o da plataforma verdadeira e usa os privil\u00e9gios obtidos para concluir a substitui\u00e7\u00e3o sem levantar suspeitas.<\/p>\n

As vers\u00f5es modificadas mant\u00eam visual e funcionamento quase id\u00eanticos aos originais, mas carregam um c\u00f3digo interno capaz de enganar o sistema operacional. <\/b>Esse mecanismo substitui os certificados digitais de valida\u00e7\u00e3o, oculta servi\u00e7os suspeitos em execu\u00e7\u00e3o e remove a prote\u00e7\u00e3o que impede capturas de tela. Assim, os criminosos conseguem monitorar o celular em tempo real, registrar senhas, capturar c\u00f3digos PIN de pagamento, ler mensagens SMS e at\u00e9 transmitir imagens das c\u00e2meras do aparelho.<\/b><\/p>\n\n

\n
\n \"Reprodu\u00e7\u00e3o\/Threat
A cadeia de fraudes Hirudo. Um conta-gotas de marca instala uma carga \u00fatil separada atr\u00e1s de uma atualiza\u00e7\u00e3o falsa; uma vez em execu\u00e7\u00e3o, a carga \u00fatil impulsiona v\u00e1rias superf\u00edcies de roubo e controle que s\u00e3o reportadas ao backend do operador. Foto: Reprodu\u00e7\u00e3o\/Threat Fabric<\/figcaption><\/figure>\n<\/div>\n

Alvo principal e alcance global<\/h2>\n

Apesar de o c\u00f3digo do v\u00edrus conter registros com alvos em pa\u00edses como China, \u00cdndia, M\u00e9xico, Marrocos e Tail\u00e2ndia, a estrutura de substitui\u00e7\u00e3o direta de aplicativos foi direcionada para institui\u00e7\u00f5es da Indon\u00e9sia. No entanto, os especialistas da ThreatFabric ressaltam que o modelo de ataque pode ser adaptado rapidamente para atingir organiza\u00e7\u00f5es financeiras em qualquer outra regi\u00e3o.<\/b><\/p>\n

De acordo com o relat\u00f3rio t\u00e9cnico<\/a>, a estrat\u00e9gia representa um avan\u00e7o perigoso nas t\u00e1ticas de criminosos virtuais ao focar em falhas no pr\u00f3prio processo dos aplicativos:<\/p>\n

<\/p>\n

\n
\n \"Reprodu\u00e7\u00e3o\/Threat
A p\u00e1gina de checkout falso, aqui com a marca Maybank e detalhes de ordem de exemplo. O fundo transparente coloca o bloco PIN sobre a pr\u00f3pria p\u00e1gina de pedido do conta-gota. Foto: Reprodu\u00e7\u00e3o\/Threat Fabric<\/figcaption><\/figure>\n<\/div>\n

A an\u00e1lise da infraestrutura utilizada pelos cibercriminosos revelou um painel de controle desprotegido que armazenava milhares de credenciais roubadas, dados de dispositivos e perfis financeiros de v\u00edtimas. <\/b>Os estudiosos descobriram que a distribui\u00e7\u00e3o do malware ocorria por meio de redes de an\u00fancios e servidores de entrega de conte\u00fado que mantinham links ativos at\u00e9 o momento da publica\u00e7\u00e3o das descobertas.<\/p>\n

Recomenda\u00e7\u00e3o para usu\u00e1rios e bancos<\/h2>\n

O relat\u00f3rio destaca que as defesas locais do aparelho deixam de ser confi\u00e1veis quando o aplicativo banc\u00e1rio \u00e9 adulterado por completo. \u201cCom o mecanismo rodando dentro do pr\u00f3prio processo do aplicativo banc\u00e1rio, as defesas do app s\u00e3o voltadas contra ele mesmo\u201d, alertaram os analistas.<\/p>\n\n

\n
\n \"Reprodu\u00e7\u00e3o\/Threat
O caminho de substitui\u00e7\u00e3o. O RAT detecta o aplicativo do banco, remove a c\u00f3pia genu\u00edna, baixa o APK corrigido e dirige o instalador atrav\u00e9s da Acessibilidade. Foto: Reprodu\u00e7\u00e3o\/Threat Fabric<\/figcaption><\/figure>\n<\/div>\n

Para mitigar os riscos, eles recomendam que as institui\u00e7\u00f5es financeiras realizem as checagens de seguran\u00e7a e integridade diretamente dos servidores. Em contrapartida, para os usu\u00e1rios de dispositivos Android<\/b>, a orienta\u00e7\u00e3o principal \u00e9 manter o sistema operacional atualizado, utilizar a verifica\u00e7\u00e3o cont\u00ednua do Google Play Protect<\/b> e jamais baixar ou instalar arquivos de aplicativos vindos de fontes n\u00e3o oficiais.<\/b><\/p>\n

Siga o TecMundo<\/b><\/a> no X<\/a>, Instagram<\/a>, Facebook<\/a> e YouTube<\/a> e assine a nossa newsletter<\/a> para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail. <\/p>\n

[[{“value”:”Um novo v\u00edrus voltado para celulares Android passou a usar uma t\u00e1tica avan\u00e7ada para roubar dados banc\u00e1rios: o programa malicioso remove os aplicativos leg\u00edtimos das institui\u00e7\u00f5es financeiras e instala vers\u00f5es modificadas no lugar. Batizado de \u201cHirudo\u201d, o malware atua para desativar os mecanismos internos de prote\u00e7\u00e3o dos bancos e garantir acesso total ao aparelho das v\u00edtimas.<\/p>\n

O alerta foi emitido pela empresa de seguran\u00e7a cibern\u00e9tica ThreatFabric, em relat\u00f3rio publicado nesta quarta-feira (14). O ataque come\u00e7a quando o usu\u00e1rio baixa aplicativos aparentemente inofensivos de compras, v\u00eddeos ou entretenimento, descobriram os pesquisadores. Escondido nesses programas, o v\u00edrus exibe uma falsa notifica\u00e7\u00e3o de atualiza\u00e7\u00e3o para induzir a v\u00edtima a conceder permiss\u00f5es do sistema. Com o acesso liberado, ele baixa a vers\u00e3o alterada do app banc\u00e1rio, abre a tela de desinstala\u00e7\u00e3o da plataforma verdadeira e usa os privil\u00e9gios obtidos para concluir a substitui\u00e7\u00e3o sem levantar suspeitas.As vers\u00f5es modificadas mant\u00eam visual e funcionamento quase id\u00eanticos aos originais, mas carregam um c\u00f3digo interno capaz de enganar o sistema operacional. Esse mecanismo substitui os certificados digitais de valida\u00e7\u00e3o, oculta servi\u00e7os suspeitos em execu\u00e7\u00e3o e remove a prote\u00e7\u00e3o que impede capturas de tela. Assim, os criminosos conseguem monitorar o celular em tempo real, registrar senhas, capturar c\u00f3digos PIN de pagamento, ler mensagens SMS e at\u00e9 transmitir imagens das c\u00e2meras do aparelho.<\/p>\n

A cadeia de fraudes Hirudo. Um conta-gotas de marca instala uma carga \u00fatil separada atr\u00e1s de uma atualiza\u00e7\u00e3o falsa; uma vez em execu\u00e7\u00e3o, a carga \u00fatil impulsiona v\u00e1rias superf\u00edcies de roubo e controle que s\u00e3o reportadas ao backend do operador. Foto: Reprodu\u00e7\u00e3o\/Threat Fabric<\/p>\n

Alvo principal e alcance global
\nApesar de o c\u00f3digo do v\u00edrus conter registros com alvos em pa\u00edses como China, \u00cdndia, M\u00e9xico, Marrocos e Tail\u00e2ndia, a estrutura de substitui\u00e7\u00e3o direta de aplicativos foi direcionada para institui\u00e7\u00f5es da Indon\u00e9sia. No entanto, os especialistas da ThreatFabric ressaltam que o modelo de ataque pode ser adaptado rapidamente para atingir organiza\u00e7\u00f5es financeiras em qualquer outra regi\u00e3o.De acordo com o relat\u00f3rio t\u00e9cnico, a estrat\u00e9gia representa um avan\u00e7o perigoso nas t\u00e1ticas de criminosos virtuais ao focar em falhas no pr\u00f3prio processo dos aplicativos:<\/p>\n

A p\u00e1gina de checkout falso, aqui com a marca Maybank e detalhes de ordem de exemplo. O fundo transparente coloca o bloco PIN sobre a pr\u00f3pria p\u00e1gina de pedido do conta-gota. Foto: Reprodu\u00e7\u00e3o\/Threat Fabric<\/p>\n

A an\u00e1lise da infraestrutura utilizada pelos cibercriminosos revelou um painel de controle desprotegido que armazenava milhares de credenciais roubadas, dados de dispositivos e perfis financeiros de v\u00edtimas. Os estudiosos descobriram que a distribui\u00e7\u00e3o do malware ocorria por meio de redes de an\u00fancios e servidores de entrega de conte\u00fado que mantinham links ativos at\u00e9 o momento da publica\u00e7\u00e3o das descobertas.Recomenda\u00e7\u00e3o para usu\u00e1rios e bancos
\nO relat\u00f3rio destaca que as defesas locais do aparelho deixam de ser confi\u00e1veis quando o aplicativo banc\u00e1rio \u00e9 adulterado por completo. \u201cCom o mecanismo rodando dentro do pr\u00f3prio processo do aplicativo banc\u00e1rio, as defesas do app s\u00e3o voltadas contra ele mesmo\u201d, alertaram os analistas.<\/p>\n

O caminho de substitui\u00e7\u00e3o. O RAT detecta o aplicativo do banco, remove a c\u00f3pia genu\u00edna, baixa o APK corrigido e dirige o instalador atrav\u00e9s da Acessibilidade. Foto: Reprodu\u00e7\u00e3o\/Threat Fabric<\/p>\n

Para mitigar os riscos, eles recomendam que as institui\u00e7\u00f5es financeiras realizem as checagens de seguran\u00e7a e integridade diretamente dos servidores. Em contrapartida, para os usu\u00e1rios de dispositivos Android, a orienta\u00e7\u00e3o principal \u00e9 manter o sistema operacional atualizado, utilizar a verifica\u00e7\u00e3o cont\u00ednua do Google Play Protect e jamais baixar ou instalar arquivos de aplicativos vindos de fontes n\u00e3o oficiais.Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais not\u00edcias e an\u00e1lises diretamente no seu e-mail.”}]]\u00a0\u00a0Ciberseguranca\u00a0Novidades do TecMundo | Estad\u00e3o\u00a0<\/p>","protected":false},"excerpt":{"rendered":"

Um novo v\u00edrus voltado para celulares Android passou a usar uma t\u00e1tica avan\u00e7ada para roubar dados banc\u00e1rios: o programa malicioso remove os aplicativos leg\u00edtimos das institui\u00e7\u00f5es financeiras e instala vers\u00f5es modificadas no lugar. Batizado de \u201cHirudo\u201d, o malware atua para desativar os mecanismos internos de prote\u00e7\u00e3o dos bancos e garantir acesso total ao aparelho das […]<\/p>\n","protected":false},"author":1,"featured_media":68765,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[15],"tags":[],"class_list":["post-68764","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/68764","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=68764"}],"version-history":[{"count":0,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/posts\/68764\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=\/wp\/v2\/media\/68765"}],"wp:attachment":[{"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=68764"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=68764"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/jornal24horas.com.br\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=68764"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}