Android registra 93 mil trojans via droppers
Criminosos escondem malware bancário em apps aparentemente comuns para escapar de análises iniciais.
Resumo rapido
Operadores de malware bancário para Android mudaram a forma de entrega. Em vez de publicar o trojan completo, usam apps carregadores, os droppers, que instalam ou ativam o código malicioso em uma segunda etapa. A Kaspersky contabilizou 93.574 pacotes de trojans bancários móveis no segundo trimestre de 2026.
Neste artigo voce vai aprender:
- O que são droppers em ataques contra Android.
- Quais números foram observados pela Kaspersky no período.
- Como apps como PDF Reader e Cleanova aparecem no caso.
- Quais sinais podem indicar risco no celular.
- Que medidas práticas reduzem a chance de infecção.
A queda nos ataques esconde uma mudança de tática
A telemetria da Kaspersky aponta 1.996.823 ataques móveis bloqueados no segundo trimestre de 2026, envolvendo malware, adware e software potencialmente indesejado. No primeiro trimestre, o total havia sido de 2.676.328. A diferença pode sugerir alívio, mas o que mudou de fato foi o empacotamento e a forma de entrega do malware.
No mesmo período foram identificadas 304.128 amostras de malware Android, incluindo 93.574 pacotes de trojans bancários móveis e 570 pacotes de ransomware móvel. A categoria Trojan-Banker seguiu com peso alto, respondendo por 30,77% dos aplicativos maliciosos detectados, enquanto a atividade de Trojan-Dropper avançou.
O dropper separa o app inocente do trojan bancário
Um dropper é um aplicativo de fachada. Ele passa pela instalação sem carregar nada obviamente malicioso e serve de ponte para baixar ou ativar o componente bancário depois. Essa divisão em etapas reduz a chance de detecção nas análises automáticas de lojas de aplicativos e em ferramentas de segurança que inspecionam apenas o pacote inicial.
Um dos casos citados envolveu um PDF Reader hospedado no Google Play Store. Já instalado no aparelho, o app exibia uma falsa solicitação de atualização e, nesse momento, entregava o Anatsa, malware bancário voltado a roubo financeiro. Outro caso foi o Cleanova e apps relacionados, que enviavam dados sobre a origem da instalação para um servidor de comando. O servidor só devolvia o código malicioso quando aquela origem correspondia aos alvos definidos pelos operadores.
Sinais de alerta no celular
Para o usuário comum, a armadilha se esconde em gestos rotineiros: instalar um leitor de PDF, aceitar uma atualização, conceder uma permissão. Vale desconfiar de situações como:
- App recém-instalado pedindo atualização fora do fluxo normal do Google Play Store.
- Solicitação inesperada para instalar outro arquivo ou habilitar permissões amplas.
- Aplicativo simples, como utilitário ou leitor de documentos, pedindo acesso excessivo.
- Comportamento diferente logo após a instalação, como telas falsas ou redirecionamentos.
Atualização e permissão são o ponto de decisão
A defesa mais eficaz é tratar atualizações e permissões como momentos de decisão, não como formalidade. Mesmo em apps vindos de loja oficial, qualquer pedido fora do padrão merece desconfiança. Empresas precisam levar essa orientação aos colaboradores, já que celulares pessoais e corporativos acessam bancos, e-mail e sistemas internos.
- Atualize apps somente pela página oficial no Google Play Store.
- Evite instalar arquivos recebidos por link, mensagem ou aviso dentro de apps desconhecidos.
- Revise permissões de aplicativos que acessam SMS, notificações, acessibilidade ou instalação de apps.
- Remova aplicativos que passaram a se comportar de forma estranha depois de uma "atualização".
Checklist pratico
- Abra o Google Play Store e confira se a atualização aparece na página oficial do aplicativo.
- Negue permissões que não fazem sentido para a função do app, especialmente em utilitários simples.
- Se o app pedir instalação externa ou atualização manual, interrompa o processo e desinstale.
Perguntas frequentes
O que é um dropper no Android?
É um app usado para entregar outro malware depois da instalação. Ele aparenta legitimidade no primeiro momento e ativa o ataque em uma etapa posterior.
O Google Play Store foi citado no caso?
Sim. O relato menciona um PDF Reader hospedado no Google Play Store que exibia uma falsa atualização antes de instalar o Anatsa.
O número de ataques caiu?
O total de ataques bloqueados caiu em relação ao trimestre anterior, mas os operadores mudaram a tática e passaram a apostar no empacotamento por droppers.
Proteja sua empresa com a LC SEC
A LC SEC ajuda empresas a identificar riscos em dispositivos móveis, orientar usuários e monitorar ameaças como trojans bancários Android antes que causem perdas financeiras.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Compartilhe nas redes sociais:
