Pesquisadores da ThreatFabric identificaram uma nova família de malware bancário para Android batizada de StreamRat, cujo diferencial não está no código, e sim na porta de entrada: em vez de esperar a vítima cair em um link por SMS, os operadores compraram espaço publicitário no Instagram, no Facebook e no TikTok. A isca era uma suposta plataforma gratuita de streaming de TV — o tipo de promessa que rende clique fácil em qualquer feed.
O alcance da campanha impressiona pelo método. Segundo o levantamento, os anúncios chegaram a cerca de 570 mil contas na União Europeia, com concentração na Espanha, em um período de operação que se estendeu de 11 de junho a 3 de julho. Ou seja: a distribuição foi financiada, segmentada e medida, como qualquer campanha de marketing — só que o produto anunciado era um cavalo de Troia.
A cadeia de infecção é escalonada, e é aí que mora o perigo. O aplicativo é instalado fora da Google Play e, uma vez aberto, começa a pedir permissões em sequência: primeiro se propõe como tela inicial do sistema, depois ativa uma VPN local que serve para atrapalhar as verificações de segurança e, por fim, solicita o Serviço de Acessibilidade do Android. É esse último pedido que entrega o aparelho: com ele, o malware registra tudo o que é digitado, incluindo senhas, espelha a tela em tempo real para os criminosos e ainda simula toques remotamente, o que permite concluir uma transferência sem que o dono do celular encoste no aparelho.
Para completar, o StreamRat exibe sobreposições visuais falsas por cima dos aplicativos legítimos. A vítima acredita estar digitando na tela do próprio banco, quando na prática entrega os dados a uma cópia desenhada pelo golpista. É a mesma técnica de outras famílias que já circulam por aqui e que o mercado brasileiro conhece bem por conta das pragas voltadas ao Pix.
A campanha mapeada foi europeia, mas nada nesse modelo é regional: comprar anúncio em rede social funciona igualmente bem no Brasil, e as pragas bancárias voltadas ao público brasileiro estão entre as mais ativas do mundo. A defesa continua sendo comportamental, não técnica. Instale aplicativos apenas pela Google Play, desconfie de qualquer app fora da loja que peça para virar a tela inicial ou que solicite o serviço de acessibilidade — praticamente nenhum aplicativo legítimo de entretenimento precisa disso — e trate anúncio de streaming grátis com a mesma suspeita que você já tem por mensagem de banco pedindo senha.
