Trojans no smartphone: como malwares roubam bancos e seed phrases de carteiras cripto
Segundo levantamentos globais de segurança, entre agosto de 2024 e julho de 2025, o Brasil registrou 1,1 milhão de bloqueios de ataques cibernéticos em smartphones, o equivalente a 54% de todas as tentativas de invasão na América Latina. São mais de 2,1 ataques a cada minuto contra dispositivos Android no país. Nesse cenário de ameaças em constante evolução, novos trojan bancário altamente sofisticado, identificado como Android/BankBot-YNRK, passou a se destacar como uma das principais preocupações para usuários e organizações. Em conjunto com o DeliveryRAT, esses novos trojans bancários para Android evidenciam a crescente complexidade e especialização das campanhas maliciosas voltadas à fraude financeira móvel. Diferente dos malwares tradicionais que apenas roubam credenciais, este ataca um alvo específico e bem-definido: marcas populares como Samsung e Xiaomi para drenar contas bancárias e roubar seed phrases de carteiras de criptomoedas. A ameaça exemplifica uma mudança fundamental no crime financeiro digital: o “bolso no seu bolso” agora está na mira. Ouça: BankBot-YNRK e DeliveryRAT: a nova geração de trojans móveis Análises recentes conduzidas por pesquisadores de segurança indicam que trojans móveis como Android/BankBot-YNRK e DeliveryRAT representam uma nova geração de malware para Android, caracterizada por evasão avançada, automação de interface e foco direto em fraude financeira. O BankBot-YNRK incorpora mecanismos sofisticados de anti-análise, verificando se está sendo executado em ambientes virtualizados ou emulados antes de ativar suas cargas maliciosas. O malware coleta informações detalhadas do dispositivo como fabricante, modelo e versão do sistema e restringe sua execução a aparelhos reais e previamente mapeados, com foco especial em dispositivos Samsung e Google Pixel. Essa lógica seletiva reduz a exposição em sandboxes e permite otimizações específicas para cada modelo alvo Distribuído sob o disfarce de aplicativos governamentais falsos, como IdentitasKependudukanDigital.apk, o BankBot-YNRK abusa dos Serviços de Acessibilidade do Android para assumir controle quase total do dispositivo. Entre suas capacidades estão a captura de tela em tempo real, reconstrução da interface de aplicativos bancários (skeleton UI), automação de carteiras de criptomoedas e a exibição de overlays fraudulentos que simulam processos legítimos de verificação de identidade enquanto o malware solicita permissões adicionais e se estabelece como administrador do dispositivo. Já o DeliveryRAT exemplifica a convergência entre engenharia social, MaaS (Malware-as-a-Service) e persistência furtiva. Ativo desde meados de 2024, o malware é distribuído por meio de campanhas que se passam por serviços de entrega, marketplaces, aplicativos bancários ou ofertas de emprego remoto, com forte uso de mensagens via Telegram. Operando em modelo comercial, o DeliveryRAT é oferecido por atores de ameaça através de bots no Telegram, que fornecem tanto os APKs maliciosos quanto páginas de phishing para distribuição em escala. Após a instalação, o DeliveryRAT solicita permissões estratégicas como acesso a notificações e desativação de otimizações de bateria permitindo coleta contínua de dados sensíveis, execução persistente em segundo plano e acesso a SMS e registros de chamadas. Algumas variantes também ocultam seus ícones da tela inicial para dificultar a remoção e incluem funcionalidades adicionais, potencial uso do dispositivo comprometido como nó em atividades coordenadas, incluindo ataques distribuídos. Em conjunto, BankBot-YNRK e DeliveryRAT demonstram como o ecossistema móvel se tornou um vetor primário de fraude digital, no qual o smartphone deixa de ser apenas um endpoint e passa a operar como plataforma ativa de automação criminosa, integrando roubo de credenciais, fraude bancária, abuso de criptomoedas e operações coordenadas em larga escala. Funcionalidades do DeliveryRAT e seu modus operandi Em conjunto, essas funcionalidades demonstram que o DeliveryRAT vai além de um simples spyware móvel, posicionando-se como uma plataforma modular de abuso do dispositivo, capaz de sustentar campanhas de fraude financeira, coleta massiva de dados sensíveis e operações coordenadas em larga escala. O Surgimento de uma Ameaça Sofisticada O Android/BankBot-YNRK representa uma evolução significativa em relação aos trojans móveis anteriores.Três variantes foram descobertas mirando principalmente usuários do Sudeste Asiático, mas sua arquitetura modular e capacidades avançadas indicam risco iminente para o mercado brasileiro.O malware se disfarça sob nomes aparentemente inofensivos como “IdentitasKependudukanDigital.apk”, sugerindo ser um aplicativo governamental legítimo para ganhar a confiança das vítimas.O contexto brasileiro torna esse cenário particularmente preocupante. De acordo com a Kaspersky, o Brasil concentra aproximadamente 80% dos ataques de trojans bancários em toda a América Latina.Das 22 famílias de trojans bancários identificadas globalmente, cerca de 13 tiveram origem em solo brasileiro, consolidando o país como um epicentro de inovação no cibercrime financeiro. Essa sofisticação local, combinada com uma população massivamente dependente de serviços financeiros móveis, cria um terreno fértil para ataques como o BankBot-YNRK. Do Disfarce ao Roubo: Como o Ataque Funciona A engenharia do BankBot-YNRK é extremamente sofisticada, operando em múltiplas camadas para evitar detecção e maximizar o roubo.Assim que o malware é instalado, ele requisita acesso aos Serviços de Acessibilidade do Android (uma permissão que é aparentemente inofensiva) ,se transforma em uma “chave mestra” do dispositivo.Com essa permissão ativada, o trojan ganha capacidades devastadoras: monitora a tela em tempo real, captura toques e gestos como um keylogger avançado, registra códigos de autenticação de dois fatores (OTP) de aplicativos como Google Authenticator e executa ações de forma completamente autônoma.Uma vez que o acesso é confirmado, o malware exibe uma tela em indonésio imitando um prompt de “Verificação de Informações Pessoais”, levando o usuário a acreditar que está em um procedimento legítimo.Enquanto isso, nos bastidores, o trojan habilita outras permissões críticas, se adiciona como aplicativo administrador e cria as condições para sua operação contínua. Em seguida, o malware entra em contato com seu servidor de Comando e Controle (C2) e requisita uma lista abrangente de aplicativos bancários que pode atacar.A lista retornada é extensa e focada no Sudeste Asiático, incluindo instituições como MoMo, SCB Mobile Banking, BCA, BRI, Maybank, Public Bank, SBI Yono, ICICI e Axis Bank. Porém, a arquitetura modular do BankBot-YNRK sugere que a lista pode ser facilmente adaptada para incluir bancos brasileiros populares como Bradesco, Itaú, Santander e Caixa.Essa flexibilidade é um diferencial crítico que amplifica o risco para o mercado brasileiro. A Ameaça às Carteiras de Criptomoedas Talvez ainda mais preocupante que o roubo de dados bancários seja a capacidade do BankBot-YNRK
