Para conseguir concretizar seus planos ardilosos, os desenvolvedores de malware para Android precisam enfrentar vários desafios sucessivos: enganar os usuários para invadir o smartphone, burlar os softwares de segurança, convencer as vítimas a conceder várias permissões do sistema, manter a distância de otimizadores de bateria integrados que consomem muitos recursos e, depois de tudo isso, ter a certeza de que o malware realmente gera lucro. Os criadores do BeatBanker, uma campanha de malware baseado em‑Android descoberta recentemente por nossos especialistas, desenvolveram algo novo para cada uma dessas etapas. O ataque é voltado, por enquanto, para usuários brasileiros, mas as ambições dos desenvolvedores quase certamente motivará uma expansão internacional, então, vale a pena permanecer em alerta e estudar os truques do agente da ameaça. É possível encontrar uma análise técnica completa do malware na Securelist.
O malware é distribuído por páginas de phishing especialmente criadas que imitam a Google Play Store. Uma página facilmente confundida com o Marketplace oficial convida os usuários a baixar um aplicativo aparentemente útil. Em uma campanha, o trojan se disfarçou como o aplicativo de serviços do governo brasileiro, o INSS Reembolso. Em outra, ele se apresentava como um aplicativo da Starlink.
O site malicioso cupomgratisfood{.}shop faz um excelente trabalho ao imitar uma loja de aplicativos. Não está claro por que o aplicativo INSS Reembolso falso aparece todas as três vezes. Para transparecer mais credibilidade, talvez?!
A instalação ocorre em várias etapas para evitar a solicitação de muitas permissões ao mesmo tempo e para acalmar ainda mais a vítima. Depois que o primeiro aplicativo é baixado e iniciado, ele exibe uma interface que também se assemelha ao Google Play e simula uma atualização para o aplicativo falso, ao solicitar a permissão do usuário para instalar aplicativos, algo que não parece fora do comum no contexto. Se essa permissão for concedida, o malware baixará módulos maliciosos adicionais no smartphone.
Após a instalação, o trojan simula uma atualização do aplicativo chamariz via Google Play ao solicitar permissão para instalar aplicativos enquanto baixa módulos maliciosos adicionais no processo
Todos os componentes do trojan são criptografados. Antes de descriptografar e prosseguir para os próximos estágios da infecção, ele verifica se o smartphone é real e se ele está no país de destino. O BeatBanker encerra imediatamente o próprio processo se encontrar discrepâncias ou detectar que está sendo executado em ambientes emulados ou de análise. Isso complica a análise dinâmica do malware. Aliás, o falso downloader de atualizações injeta módulos diretamente na RAM para evitar a criação de arquivos no smartphone que seriam visíveis ao software de segurança.
Todos esses truques não são novidade e são frequentemente usados em malwares complexos para computadores desktop. No entanto, para smartphones, essa sofisticação ainda é uma raridade, e nem todas as ferramentas de segurança conseguirão detectar isso. Usuários de produtos da Kaspersky estão protegidos contra essa ameaça.
Uma vez estabelecido no smartphone, o BeatBanker baixa um módulo para minerar a criptomoeda Monero. Os autores estavam muito preocupados com a possibilidade dos sistemas agressivos de otimização de bateria do smartphone desligarem o minerador, então eles criaram um truque: tocar um som quase inaudível o tempo todo. Os sistemas de controle de consumo de energia normalmente poupam os aplicativos que estão reproduzindo áudio ou vídeo para evitar cortar a música de fundo ou os players de podcast. Dessa forma, o malware pode ser executado continuamente. Além disso, ele exibe uma notificação persistente na barra de status para solicitar ao usuário que mantenha o telefone ligado para uma atualização do sistema.
Exemplo de uma notificação de atualização persistente do sistema de outro aplicativo malicioso disfarçado como um aplicativo da Starlink
Para gerenciar o trojan, os autores utilizam o Firebase Cloud Messaging (FCM) legítimo do Google, um sistema para receber notificações e enviar dados de um smartphone. Esse recurso está disponível para todos os aplicativos e é o método mais popular para enviar e receber dados. Graças ao FCM, os invasores podem monitorar o status do dispositivo e alterar as configurações de acordo com suas necessidades.
Não acontecerá nada durante um tempo, depois que o malware for instalado, os invasores esperam pacientemente. Então, eles acionam o minerador, mas com o cuidado de reduzir a intensidade, se o telefone superaquecer, a bateria começar a descarregar ou o proprietário estiver usando o dispositivo. Tudo isso é feito via FCM.
Além do minerador de criptomoedas, o BeatBanker instala módulos extras para espionar o usuário e realizar o roubo no momento certo. O módulo de spyware solicita a permissão dos Serviços de Acessibilidade, e se ela for concedida, o monitoramento de tudo o que estiver acontecendo no smartphone começa.
Se o proprietário abrir o aplicativo Binance ou Trust Wallet para enviar USDT, o malware sobrepõe uma tela falsa na parte superior da interface da carteira ao trocar efetivamente o endereço do destinatário pelo seu próprio endereço. Todas as transferências vão para os golpistas.
O trojan possui um sistema de controle remoto avançado e é capaz de executar muitos outros comandos:
Tudo isso torna possível roubar a vítima quando ela usa qualquer outro serviço bancário ou de pagamento, não apenas os pagamentos de criptomoedas.
Às vezes, as vítimas são infectadas com um módulo diferente para espionagem e controle remoto por smartphone, o trojan de acesso remoto BTMOB. Seus recursos maliciosos são ainda mais amplos, incluindo:
Os criminosos virtuais estão constantemente refinando seus ataques e criando novas soluções como formas de lucrar com as vítimas. Apesar disso, é possível se proteger seguindo algumas precauções simples:
Ameaças aos usuários do Android estão aumentando bastante ultimamente. Confira nossas outras postagens sobre os ataques Android mais relevantes e difundidos, além das dicas para manter você e seus entes queridos seguros:
Graças à conveniência dos pagamentos por NFC e por smartphones, muitas pessoas não carregam mais carteiras e nem lembram os PINs dos cartões bancários. Todos os cartões delas estão cadastrados em um aplicativo de pagamento, e usá-lo é mais rápido do que ficar procurando um cartão físico. Os pagamentos móveis também são seguros. Esta tecnologia foi desenvolvida há relativamente pouco tempo e inclui várias proteções antifraude. Ainda assim, os criminosos inventaram várias maneiras de usar o NFC para fins ilícitos e roubar o seu dinheiro. Felizmente, proteger seus fundos é simples: conheça os seguintes truques e evite situações arriscadas envolvendo o uso de NFC.
A retransmissão NFC é uma técnica em que dados transmitidos sem fio entre uma fonte (como um cartão bancário) e um receptor (como um terminal de pagamento) são interceptados por um dispositivo intermediário e retransmitidos em tempo real para outro. Imagine que você tenha dois smartphones conectados pela Internet, cada um com um aplicativo de retransmissão instalado. Se você encostar um cartão bancário físico no primeiro smartphone e segurar o segundo smartphone próximo a um terminal ou caixa eletrônico, o aplicativo de retransmissão no primeiro smartphone lerá o sinal do cartão por meio de NFC e o transmitirá em tempo real para o segundo smartphone, que então, transmitirá esse sinal ao terminal. Do ponto de vista do terminal, parece que houve a aproximação de um cartão real, mesmo que o cartão em si esteja fisicamente em outra cidade ou país.
Essa tecnologia não foi originalmente criada para fins criminosos. O aplicativo NFCGate surgiu em 2015 como uma ferramenta de pesquisa depois de ter sido desenvolvido por estudantes da Universidade Técnica de Darmstadt, na Alemanha. Ele foi projetado para analisar e depurar o tráfego de NFC, bem como para fins educacionais e para realizar experimentos com a tecnologia por aproximação. O NFCGate foi distribuído como uma solução de código aberto e usado em círculos acadêmicos e por entusiastas.
Cinco anos depois, os cibercriminosos perceberam o potencial da retransmissão NFC e modificaram o NFCGate adicionando mods que permitiam sua execução por um servidor malicioso, seu disfarce como software legítimo e a criação de cenários de engenharia social.
O que começou como um projeto de pesquisa se transformou na base de uma classe inteira de ataques destinados a drenar contas bancárias sem a necessidade de acesso físico a cartões bancários.
Os primeiros ataques documentados usando um NFCGate modificado ocorreram no final de 2023 na República Tcheca. No início de 2025, isso havia se tornado um problema perceptível e de grande escala: os analistas de segurança cibernética descobriram mais de 80 amostras exclusivas de malware embutidas na estrutura do NFCGate. Os ataques evoluíram rapidamente e os recursos de retransmissão NFC foram sendo integrados a outros componentes de malware.
Em fevereiro de 2025, surgiram pacotes de malware que combinavam CraxsRAT e NFCGate, o que permitiu que os invasores instalassem e configurassem o retransmissor com o mínimo de interação da vítima. Um novo golpe, a chamada versão “reversa” do NFCGate, surgiu na primavera de 2025, alterando o modo de execução do ataque.
O trojan RatOn, detectado pela primeira vez na República Tcheca, é digno de destaque. Ele combina o controle remoto do smartphone com recursos de retransmissão NFC, permitindo que os invasores explorem os aplicativos e cartões bancários das vítimas usando várias combinações de técnicas. Recursos como captura de tela, manipulação de dados da área de transferência e envio de SMS, além do roubo de informações de carteiras de criptomoedas e de aplicativos bancários, fornecem aos criminosos um arsenal extenso.
Os cibercriminosos também incorporaram a tecnologia de retransmissão NFC em ofertas de malware como serviço (MaaS) e as revenderam a outros agentes de ameaças por meio de uma assinatura. No início de 2025, analistas descobriram uma nova e sofisticada campanha de malware para Android na Itália, apelidada de SuperCard X. Tentativas de implementar o SuperCard X foram registradas na Rússia em maio de 2025 e no Brasil em agosto do mesmo ano.
O ataque direto é o golpe criminoso original para a exploração do NFCGate. Nesse cenário, o smartphone da vítima desempenha o papel de leitor, enquanto o telefone do invasor atua como o emulador de cartão.
Primeiro, os fraudadores induzem o usuário a instalar um aplicativo malicioso disfarçado de serviço bancário, uma atualização de sistema, um aplicativo para garantir a “segurança da conta” ou até mesmo um aplicativo popular, como o TikTok. Ao ser instalado, o aplicativo obtém acesso ao NFC e à Internet, geralmente sem solicitar permissões perigosas ou acesso root. Algumas versões também solicitam acesso aos recursos de acessibilidade do Android.
Em seguida, sob o pretexto de realizar uma verificação de identidade, a vítima é solicitada a aproximar o seu cartão bancário do telefone. Quando isso acontece, o malware lê as informações do cartão por meio do NFC e as envia de imediato para o servidor dos criminosos. A partir daí, as informações são retransmitidas para um segundo smartphone pertencente a uma “mula financeira”, que ajuda a roubar o dinheiro. Este telefone então emula o cartão da vítima para fazer pagamentos em um terminal ou sacar dinheiro de um caixa eletrônico.
O aplicativo falso no smartphone da vítima também solicita o PIN do cartão (assim como ocorre em um terminal de pagamento ou caixa eletrônico) e o envia aos invasores.
Nas primeiras versões do ataque, os criminosos simplesmente ficavam a postos em um caixa eletrônico com um telefone para usar o cartão de uma vítima em tempo real. Com o tempo, o malware foi refinado para que as informações roubadas pudessem ser usadas para fazer compras em estabelecimentos em um modo off-line atrasado, em vez de uma retransmissão instantânea.
É difícil para a vítima perceber o roubo: o cartão nunca saiu de perto dela e não foi necessário inserir manualmente ou informar seus dados em voz alta, além de que as notificações sobre os saques enviadas pelo banco podem atrasar ou até mesmo serem interceptadas pelo próprio aplicativo malicioso.
Entre os sinais de alerta que devem fazer você suspeitar de um ataque direto de NFC estão:
O ataque reverso é um golpe mais recente e mais sofisticado. Não é mais necessário que o smartphone da vítima leia seu cartão, pois ele emula o cartão do invasor. Para a vítima, tudo parece completamente seguro: não há necessidade de informar os dados do cartão em voz alta, compartilhar códigos ou aproximar um cartão do telefone.
Assim como no golpe direto, tudo começa com a engenharia social. O usuário recebe uma ligação ou uma mensagem convencendo-o a instalar um aplicativo para fins de “pagamentos por aproximação”, “segurança do cartão” ou até mesmo “usar moeda digital do banco central”. Após o aplicativo ter sido instalado, aparece uma mensagem solicitando que ele seja definido como o método de pagamento por aproximação padrão. Esta etapa é extremamente importante. Graças a isso, o malware não precisa de acesso root, apenas do consentimento do usuário.
O aplicativo malicioso se conecta silenciosamente ao servidor do invasor em segundo plano e os dados de NFC de um cartão que pertence a um dos criminosos são transmitidos ao dispositivo da vítima. A vítima nem percebe que isso ocorre, o que torna essa etapa completamente invisível.
Em seguida, ela é instruída a se dirigir a um caixa eletrônico. Sob o pretexto de “transferir dinheiro para uma conta segura” ou “enviar dinheiro para si mesma”, solicita-se que ela aproxime o telefone do leitor NFC do caixa eletrônico. Mas agora, o caixa eletrônico está, na verdade, interagindo com o cartão do invasor. Um PIN “novo” ou “temporário” é informado à vítima com antecedência.
E o resultado é que todo o dinheiro depositado ou transferido por ela acaba na conta dos criminosos.
As características desse ataque são:
Os ataques de retransmissão NFC dependem mais da confiança do usuário do que de vulnerabilidades técnicas. Para se defender contra eles, basta tomar algumas precauções simples.
Câmeras veiculares, populares em alguns países e ilegais em outros, geralmente são vistas como um seguro em caso de acidente ou disputa no trânsito. Mas uma equipe de pesquisadores de segurança cibernética de Singapura tem outra visão. Eles consideram as câmeras veiculares off-line uma base adequada para um sistema de vigilância em massa: e mais, capaz de se expandir automaticamente. Eles apresentaram os detalhes de sua pesquisa no Security Analyst Summit 2025.
Então, como um dispositivo off-line pode ser usado para vigilância? Bem, embora seja verdade que a maioria das câmeras veiculares não está equipada com um cartão SIM ou conectividade 4G/5G, mesmo modelos baratos têm Wi-Fi. Isso permite que o telefone do motorista se conecte ao dispositivo por meio de um aplicativo móvel para ajustar configurações, baixar vídeos e para outros fins. E, como sabemos, muitas câmeras veiculares permitem ignorar a etapa de autenticação, o que possibilita que um agente mal-intencionado se conecte a elas a partir do próprio dispositivo e então baixe os dados armazenados.
Um invasor tem muito a ganhar com isso. Primeiro, há o vídeo de alta resolução, que mostra claramente placas e sinais de trânsito. Alguns modelos de câmeras veiculares também gravam o interior do carro, e outros possuem lentes grande-angulares e/ou câmeras traseiras. Em segundo lugar, as câmeras veiculares podem gravar áudio, principalmente conversas dentro do veículo. Terceiro, essas gravações de áudio e vídeo levam carimbos de data e hora precisos, além de tags de GPS.
Portanto, ao baixar dados de uma câmera veicular, alguém pode rastrear os movimentos do proprietário, obter imagens dos locais onde ele dirige e estaciona, descobrir sobre o que se fala no carro e, muitas vezes, obter fotos e vídeos dos passageiros do veículo ou de pessoas próximas ao carro. Naturalmente, para a vigilância direcionada, o hacker precisaria comprometer uma câmera veicular específica, enquanto para a vigilância em massa, ele precisaria comprometer um grande número de dispositivos.
Os pesquisadores iniciaram seus experimentos com uma popular câmera veicular Thinkware, mas rapidamente ampliaram o escopo do estudo para incluir duas dúzias de modelos de cerca de 15 marcas diferentes.
Eles descobriram muitas semelhanças no funcionamento dos diferentes dispositivos. A conexão inicial normalmente é feita a um ponto de acesso Wi-Fi criado pela própria câmera veicular, usando o SSID e a senha padrão do manual.
A maioria dos modelos testados pelos pesquisadores tinha uma senha codificada, permitindo que um invasor estabelecesse uma conexão com eles. Uma vez conectado, o hacker obtém acesso a uma configuração familiar encontrada em outros gadgets de IoT: um processador ARM e uma versão leve do Linux. O invasor então tem à disposição um arsenal de truques comprovados para burlar a autenticação do fabricante, projetada para distinguir o proprietário de um usuário não autorizado. Pelo menos um desses métodos normalmente funciona:
A maioria dos serviços on-line está protegida contra esses tipos de ataques há anos, senão décadas. No entanto, essas vulnerabilidades clássicas do passado ainda são comumente descobertas em dispositivos incorporados.
Para que usuários possam revisar rapidamente arquivos gravados na tela do celular ou até acompanhar uma transmissão ao vivo da câmera, as câmeras veiculares geralmente operam múltiplos servidores semelhantes aos utilizados na Internet. Um servidor FTP permite downloads rápidos de arquivos, enquanto um servidor RTSP transmite vídeo ao vivo e assim por diante. Em teoria, esses servidores possuem segurança própria baseada em senha para protegê-los contra acessos não autorizados. Na prática, eles geralmente usam uma senha padrão, codificada, idêntica para cada unidade daquele modelo, uma senha que pode ser facilmente extraída do aplicativo móvel do fabricante.
Por que os pesquisadores estão convencidos de que esses dispositivos podem ser comprometidos em grande escala? Devido a dois fatores principais:
Consequentemente, um único código malicioso capaz de testar algumas dezenas de senhas e aplicar três ou quatro métodos distintos de ataque pode comprometer com sucesso cerca de um quarto das câmeras veiculares em um ambiente urbano real.
Na versão inicial do ataque, os pesquisadores modelaram um cenário semiestacionário. Nessa configuração, um invasor com um laptop estaria em um local onde os carros param por alguns minutos, como um posto ou drive-through. Contudo, investigações posteriores revelaram algo ainda mais preocupante: todo o ataque pode ser realizado diretamente na própria câmera veicular! Eles conseguiram escrever um código que funciona como um worm de computador: uma câmera veicular infectada tenta se conectar e comprometer as câmeras veiculares de carros próximos enquanto o veículo está em movimento. Isso é viável quando os veículos trafegam a velocidades semelhantes, como em congestionamentos.
Os autores do estudo não se limitaram a provar que o hack era possível; eles desenvolveram um sistema completo para coleta e análise de dados. Os dados de câmeras veiculares comprometidas podem ser enviados à central diretamente para o computador do invasor, por exemplo, um posto de gasolina, ou por meio de recursos de nuvem integrados às câmeras.
Alguns modelos de câmeras veiculares são equipados com um módulo LTE, permitindo que o código malicioso envie dados diretamente ao controlador do botnet. Mas também há uma opção para modelos mais simples. Por exemplo, uma câmera veicular pode conseguir carregar dados em um smartphone, que os sincroniza com a nuvem do fornecedor, ou o dispositivo pode encaminhar dados para outras câmeras veiculares, que então os encaminham ao invasor.
Às vezes, a segurança inadequada do armazenamento em nuvem permite que os dados sejam extraídos de maneira direta, especialmente se o invasor conhecer os identificadores de usuário armazenados na câmera.
O invasor pode combinar vários métodos para analisar os dados coletados:
O resultado é um resumo breve e informativo de cada viagem: a rota, o tempo de viagem e os assuntos discutidos. À primeira vista, o valor desses dados parece limitado porque são anônimos. Na realidade, a desanonimização não é um problema. Às vezes, o nome do proprietário ou a placa do veículo são explicitamente listados nas configurações da câmera. Além disso, ao analisar a combinação de locais frequentemente visitados (como casa e trabalho), torna-se relativamente fácil identificar o proprietário da câmera veicular.
As recentes revelações sobre a parceria entre a Flock e a Nexar ressaltam como as câmeras veiculares podem de fato se tornar um elo valioso em um sistema global de vigilância e monitoramento de vídeo. A Flock opera a maior rede de câmeras automáticas de leitura de placas para a polícia nos Estados Unidos, enquanto a Nexar mantém uma rede de câmeras veiculares conectadas à nuvem, projetadas para criar uma “visão colaborativa” das estradas.
No entanto, a invasão em massa de câmeras veiculares pode levar a um esforço de coleta de dados muito mais agressivo e malicioso, com informações sendo usadas para esquemas criminosos e fraudulentos. O combate a essa ameaça é, principalmente, responsabilidade dos fornecedores, que precisam adotar práticas de desenvolvimento seguras (Security by Design), implementar criptografia robusta e aplicar outros controles técnicos. Para os motoristas, as opções de autodefesa são limitadas e dependem muito dos recursos específicos de seu modelo de câmera veicular. Listamos abaixo essas opções, da mais à menos radical:
Os carros modernos também são suscetíveis a outros tipos de ataques cibernéticos:
Entrar