StreamRAT transforma falso aplicativo de streaming em ferramenta para assumir o controle de celulares Android
Novo trojan bancário usa anúncios em redes sociais, instalação de APK fora da loja oficial e abuso dos recursos de Acessibilidade do Android para espionar a tela, capturar credenciais e permitir controle remoto do dispositivo.
Uma campanha maliciosa que oferece acesso gratuito a serviços de televisão e streaming está sendo utilizada para distribuir um novo trojan bancário para Android capaz de conceder aos criminosos um nível de controle próximo ao total sobre o dispositivo infectado. Batizado de StreamRAT, o malware combina técnicas tradicionais de roubo de credenciais com recursos de acesso remoto, captura de tela e manipulação da interface do smartphone.
A ameaça foi identificada por pesquisadores da ThreatFabric durante a investigação de uma campanha denominada “Steamtv Esp”, direcionada principalmente a usuários de língua espanhola. Segundo os pesquisadores, anúncios relacionados à operação alcançaram aproximadamente 570 mil contas da Meta na União Europeia, sobretudo na Espanha, entre 11 de junho e 3 de julho de 2026.
Por que isso importa?
O número de 570 mil representa o alcance estimado dos anúncios maliciosos, não a quantidade de dispositivos comprovadamente infectados. Até o momento, não foi divulgado um total confirmado de vítimas.
A campanha demonstra como ataques contra dispositivos móveis estão combinando engenharia social, publicidade digital e abuso de funcionalidades legítimas do sistema operacional. Em vez de depender necessariamente da exploração de uma vulnerabilidade do Android, os criminosos induzem a própria vítima a instalar o aplicativo e conceder permissões que depois são usadas para controlar o aparelho.
Do anúncio de streaming ao comprometimento do smartphone
A cadeia de ataque começa com anúncios que prometem acesso gratuito a conteúdo de televisão ou streaming. Ao clicar no anúncio, o usuário é encaminhado para um site preparado pelos criminosos. A página identifica o sistema operacional do visitante e disponibiliza o download somente quando detecta um dispositivo Android.
A estratégia reduz a exposição desnecessária da infraestrutura maliciosa e permite apresentar instruções específicas para a vítima. Dependendo da origem do acesso — como Instagram, Facebook, TikTok ou navegador — o site pode orientar o usuário sobre como permitir a instalação do aplicativo.
O arquivo distribuído não vem da Google Play. A vítima precisa instalar manualmente um pacote APK, procedimento conhecido como sideloading, autorizando a instalação de aplicativos provenientes de fontes desconhecidas. Esse é um ponto decisivo da cadeia de comprometimento, porque o ataque depende da interação do usuário e da concessão progressiva de permissões que um aplicativo legítimo de streaming normalmente não precisaria solicitar.
A cadeia de ataque combina anúncio malicioso, download de APK, abuso de permissões e controle remoto.
Um processo de instalação em várias etapas
A operação utiliza inicialmente um dropper, programa cuja função é preparar o dispositivo e instalar o componente malicioso definitivo. Segundo a ThreatFabric, a infraestrutura utilizada para distribuir esse estágio apresentou relação com um repositório do GitHub anteriormente associado à distribuição do trojan bancário Mirax, indicando reutilização de parte da infraestrutura e das técnicas de entrega.
Durante a execução, o dropper tenta tornar-se o aplicativo padrão da tela inicial do Android. Em seguida, solicita autorização para estabelecer uma conexão VPN. O comportamento observado pelos pesquisadores é particularmente relevante: o dropper cria deliberadamente uma interface VPN sem conectividade funcional, interrompendo temporariamente o acesso à Internet de outros aplicativos enquanto mantém sua própria comunicação disponível.
A ThreatFabric avalia que essa técnica pode dificultar verificações de reputação e determinados mecanismos de análise baseados em serviços online durante a instalação. Depois dessa etapa, o dropper baixa o payload do StreamRAT, solicita autorização para instalar aplicativos provenientes de fontes desconhecidas e executa o trojan.
Acessibilidade do Android vira instrumento de controle
Depois de instalado, o StreamRAT tenta convencer a vítima a habilitar os Serviços de Acessibilidade do Android. A funcionalidade é legítima e foi criada para auxiliar pessoas que precisam de recursos adicionais para interagir com seus dispositivos. O problema surge quando um aplicativo malicioso recebe essas permissões.
Com acesso suficiente à Acessibilidade, um malware pode observar elementos exibidos na interface e executar determinadas ações em nome do usuário, incluindo toques, gestos e navegação entre telas. No caso do StreamRAT, esse acesso é combinado com diferentes mecanismos de monitoramento e controle remoto.
O malware consegue coletar informações da interface gráfica, registrar dados digitados, identificar aplicativos instalados e apresentar overlays, telas falsas sobrepostas a aplicativos legítimos para capturar credenciais. Isso permite detectar que a vítima abriu um determinado aplicativo e apresentar uma página visualmente semelhante à tela de autenticação daquele serviço.
VNC e captura invisível ampliam o controle
Um dos principais diferenciais técnicos do StreamRAT está na capacidade de oferecer aos operadores diferentes formas de visualizar remotamente o dispositivo comprometido. Uma delas utiliza recursos de captura de tela do Android por meio da MediaProjection API, tecnologia legítima empregada por aplicativos que precisam compartilhar ou gravar a tela.
O malware também possui uma modalidade mais discreta, descrita pelos pesquisadores como uma forma de VNC oculto, que utiliza recursos associados à Acessibilidade para obter capturas sucessivas da tela. Na prática, o criminoso passa a acompanhar o que ocorre no smartphone e pode combinar essa visibilidade com comandos remotos.
A comunicação com a infraestrutura de comando e controle (C2) utiliza conexões WebSocket. O malware também procura evitar a transmissão repetida de informações idênticas da tela e da interface, reduzindo consumo de banda e tornando o controle remoto mais eficiente.
Tela preta pode esconder as ações do criminoso
Outra característica preocupante é a capacidade de bloquear visualmente a interação da vítima enquanto ações são realizadas no aparelho. O StreamRAT pode apresentar uma tela preta ou simular uma atualização, criando a impressão de que o dispositivo está temporariamente indisponível.
Enquanto o usuário acredita estar aguardando o término de uma operação, o criminoso pode continuar interagindo com o smartphone em segundo plano. Esse tipo de recurso muda significativamente o impacto do comprometimento: o ataque deixa de ser apenas uma tentativa de capturar uma senha e passa a criar condições para uma verdadeira tomada remota do dispositivo.
O risco também chega às empresas
Embora a campanha identificada tenha utilizado uma isca voltada ao consumidor, o risco não deve ser tratado exclusivamente como um problema doméstico. A adoção de modelos BYOD — Bring Your Own Device, nos quais dispositivos pessoais também são utilizados para atividades profissionais, cria uma ligação direta entre comprometimentos móveis e ambientes corporativos.
Um aparelho infectado pode conter aplicativos de e-mail empresarial, plataformas de colaboração, VPNs, sistemas de autenticação, aplicativos financeiros e tokens utilizados em mecanismos de autenticação multifator. Organizações que administram dispositivos móveis devem considerar comportamentos como ativação incomum de serviços de Acessibilidade, solicitações inesperadas de captura de tela, alteração do launcher padrão e instalação de aplicativos fora das lojas ou repositórios corporativos autorizados como eventos relevantes para monitoramento.
Como reduzir o risco de infecção pelo StreamRAT
A principal medida preventiva continua sendo evitar a instalação de aplicativos Android distribuídos por anúncios, mensagens ou páginas desconhecidas, principalmente quando o conteúdo promete acesso gratuito a serviços normalmente pagos. Aplicativos devem ser obtidos preferencialmente por lojas oficiais ou pelos mecanismos de distribuição autorizados pela organização.
Solicitações de acesso aos Serviços de Acessibilidade também merecem atenção especial. Um aplicativo de streaming, por exemplo, dificilmente deveria precisar controlar gestos, observar elementos apresentados por outros aplicativos ou executar ações sobre a interface do sistema. O mesmo raciocínio vale para solicitações relacionadas à instalação de outros aplicativos, alteração do launcher padrão, criação de VPNs ou captura de tela.
Em ambientes corporativos, políticas de Mobile Device Management (MDM) ou outras tecnologias de gerenciamento e proteção de endpoints móveis podem ajudar a restringir instalações não autorizadas e identificar configurações incompatíveis com a política de segurança.
Indicadores de comprometimento divulgados
Os pesquisadores divulgaram indicadores que podem auxiliar equipes de segurança e threat intelligence na investigação da campanha. Eles devem ser utilizados como elementos de correlação e não, isoladamente, como confirmação definitiva de comprometimento.
O ataque começa antes da instalação do malware
A principal lição deixada pelo StreamRAT está no início da cadeia de ataque. A operação não começa com uma exploração sofisticada do sistema operacional. Começa com um anúncio suficientemente convincente para transformar o usuário em participante involuntário da instalação.
A partir desse primeiro clique, cada etapa procura reduzir a percepção de risco enquanto aumenta progressivamente os privilégios concedidos ao aplicativo. Essa combinação de malvertising, engenharia social, sideloading e abuso de funcionalidades legítimas do Android cria uma cadeia de ataque difícil de interromper quando o usuário já foi convencido de que está instalando um serviço desejado.
Para empresas, a proteção exige mais do que antivírus. Políticas de instalação, gerenciamento de dispositivos móveis, conscientização dos usuários, monitoramento de permissões críticas e capacidade de detectar comportamentos anômalos precisam funcionar de forma complementar. Para usuários, permanece uma regra simples: quando um aplicativo aparentemente comum exige privilégios incompatíveis com sua função, a solicitação deve ser tratada como sinal de alerta.
Referências
Veja também:
- Falhas críticas no VMware Workstation e Fusion permitem escape de VM e execução de código no host
- Zero-day no Avast permite obter privilégios SYSTEM e acessar SAM do Windows
- Infostealers roubam sessões do Claude e permitem sequestro de contas mesmo com MFA
- Principais ataques cibernéticos no Brasil em agosto de 2026: ransomware, invasões e vazamentos
- Orçamento de Cibersegurança no Brasil: como a IA está mudando os investimentos
Be the first to comment