Como detectar trojans bancários móveis que sequestram autorizações de transação
Trojans bancários para Android abusam do serviço de acessibilidade do sistema para ler telas, interceptar SMS/OTP e autorizar transferências em nome da vítima sem que ela perceba. O material detalha como esses malwares se disfarçam de aplicativos legítimos, quais permissões exploram e por que a defesa baseada apenas em assinaturas conhecidas já não é suficiente. A recomendação central é migrar para detecção comportamental e monitoramento de anomalias de sessão.
O material descreve o funcionamento geral dos trojans bancários móveis, categoria de malware financeiro que, diferente de um simples ladrão de senhas, busca controlar o dispositivo da vítima o suficiente para executar ou aprovar transações fraudulentas em tempo real.
O vetor de entrada mais comum é o smishing, com links que levam a aplicativos falsos disfarçados de bancos, VPNs ou atualizações de sistema. Uma vez instalado, o malware solicita a permissão BIND_ACCESSIBILITY_SERVICE, que no Android permite ler o conteúdo da tela e simular toques — na prática, controle remoto do aparelho. Com isso, o trojan intercepta códigos OTP enviados por SMS, sobrepõe telas falsas (overlay) sobre o app bancário real para capturar credenciais, e pode até concluir a transferência sozinho, sem que a vítima veja o processo acontecer.
O ponto central para a detecção é que assinatura de malware não escala contra variantes que mudam constantemente de empacotamento. Por isso a recomendação é de análise comportamental: identificar sessões com padrões atípicos de navegação, velocidade de digitação incompatível com a de um humano, uso simultâneo de acessibilidade durante uma sessão bancária, ou dispositivos com histórico de comprometimento.
Para instituições financeiras, isso significa investir em fraud scoring que cruze sinais de dispositivo (device fingerprinting), comportamento de sessão e histórico de permissões concedidas no aparelho, além de soluções de proteção antifraude com inteligência de ameaças atualizada. Para o usuário final, a defesa mais simples continua sendo instalar aplicativos apenas de lojas oficiais, desconfiar de pedidos de permissão de acessibilidade em apps que não deveriam precisar dela, e congelar a conta bancária imediatamente se suspeitar de infecção.