Trojan bancário Godfather usa overlays e abuso de acessibilidade contra mais de 400 instituições financeiras
O Godfather é um trojan bancário para Android que sobrepõe telas falsas sobre aplicativos legítimos para capturar credenciais, mirando mais de 400 instituições em 16 países — 215 bancos, 94 carteiras de cripto e 110 corretoras. Ele abusa do serviço de acessibilidade do Android para bloquear tentativas de desinstalação e bombardeia a vítima com notificações a cada 8 segundos até que a permissão seja concedida. Um detalhe da amostra chama atenção: o malware se autodesativa caso detecte idiomas de países pós-soviéticos configurados no aparelho, um indício comum de atribuição a operadores da região.
A Group-IB documentou uma campanha ativa e de grande escala do trojan Godfather, com vítimas concentradas nos EUA (49), Turquia (31) e Espanha (30), além de Canadá, França, Alemanha, Reino Unido, Itália e Polônia, evidenciando uma operação industrializada de fraude bancária móvel, não um ataque isolado.
O Godfather se instala disfarçado de aplicativo legítimo e, assim que aberto, solicita a permissão de AccessibilityService — recurso do Android pensado para acessibilidade, mas que na prática concede ao malware controle equivalente ao de um usuário logado, incluindo ler a tela e bloquear o menu de configurações para impedir a própria remoção. Quando a vítima abre um dos apps bancários, de câmbio ou de carteira cripto na lista de alvos, o trojan detecta o evento e sobrepõe uma tela falsa idêntica à original (overlay), capturando login e senha digitados como se fossem inseridos no app real.
A pressão psicológica também é parte do design: notificações insistentes a cada 8 segundos empurram a vítima a conceder a permissão de acessibilidade "para o app funcionar", uma tática de engenharia social embutida no próprio malware, não apenas no e-mail ou SMS de entrada. O autodesligamento em dispositivos configurados com idiomas pós-soviéticos é um padrão comum em malware originado da região, usado para evitar processo criminal doméstico.
Para usuários, a recomendação prática é instalar aplicativos exclusivamente pela Google Play, desconfiar de qualquer app fora do escopo de acessibilidade (leitor de tela, navegação assistida) que solicite essa permissão, manter o Android atualizado, e, em caso de suspeita de infecção, congelar imediatamente as contas bancárias vinculadas ao aparelho. Para instituições financeiras, a defesa mais eficaz é a detecção do lado do servidor: soluções de monitoramento de sessão e fraud protection capazes de identificar dispositivos comprometidos por padrões de comportamento — velocidade de preenchimento, uso simultâneo de serviços de acessibilidade, geolocalização inconsistente — sem depender de o usuário perceber o próprio comprometimento.