Criminosos escondem malware bancário em apps aparentemente comuns para escapar de análises iniciais.
Operadores de malware bancário para Android mudaram a forma de entrega. Em vez de publicar o trojan completo, usam apps carregadores, os droppers, que instalam ou ativam o código malicioso em uma segunda etapa. A Kaspersky contabilizou 93.574 pacotes de trojans bancários móveis no segundo trimestre de 2026.
A telemetria da Kaspersky aponta 1.996.823 ataques móveis bloqueados no segundo trimestre de 2026, envolvendo malware, adware e software potencialmente indesejado. No primeiro trimestre, o total havia sido de 2.676.328. A diferença pode sugerir alívio, mas o que mudou de fato foi o empacotamento e a forma de entrega do malware.
No mesmo período foram identificadas 304.128 amostras de malware Android, incluindo 93.574 pacotes de trojans bancários móveis e 570 pacotes de ransomware móvel. A categoria Trojan-Banker seguiu com peso alto, respondendo por 30,77% dos aplicativos maliciosos detectados, enquanto a atividade de Trojan-Dropper avançou.
Um dropper é um aplicativo de fachada. Ele passa pela instalação sem carregar nada obviamente malicioso e serve de ponte para baixar ou ativar o componente bancário depois. Essa divisão em etapas reduz a chance de detecção nas análises automáticas de lojas de aplicativos e em ferramentas de segurança que inspecionam apenas o pacote inicial.
Um dos casos citados envolveu um PDF Reader hospedado no Google Play Store. Já instalado no aparelho, o app exibia uma falsa solicitação de atualização e, nesse momento, entregava o Anatsa, malware bancário voltado a roubo financeiro. Outro caso foi o Cleanova e apps relacionados, que enviavam dados sobre a origem da instalação para um servidor de comando. O servidor só devolvia o código malicioso quando aquela origem correspondia aos alvos definidos pelos operadores.
Para o usuário comum, a armadilha se esconde em gestos rotineiros: instalar um leitor de PDF, aceitar uma atualização, conceder uma permissão. Vale desconfiar de situações como:
A defesa mais eficaz é tratar atualizações e permissões como momentos de decisão, não como formalidade. Mesmo em apps vindos de loja oficial, qualquer pedido fora do padrão merece desconfiança. Empresas precisam levar essa orientação aos colaboradores, já que celulares pessoais e corporativos acessam bancos, e-mail e sistemas internos.
É um app usado para entregar outro malware depois da instalação. Ele aparenta legitimidade no primeiro momento e ativa o ataque em uma etapa posterior.
Sim. O relato menciona um PDF Reader hospedado no Google Play Store que exibia uma falsa atualização antes de instalar o Anatsa.
O total de ataques bloqueados caiu em relação ao trimestre anterior, mas os operadores mudaram a tática e passaram a apostar no empacotamento por droppers.
A LC SEC ajuda empresas a identificar riscos em dispositivos móveis, orientar usuários e monitorar ameaças como trojans bancários Android antes que causem perdas financeiras.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io