Dois dos trojans bancários mais ativos do mundo acabam de ganhar versões significativamente mais perigosas. Pesquisadores da Zimperium zLabs identificaram o ToxicPanda 2.0, uma reformulação completa do vírus que circulava desde 2022 e que, na nova versão, passou de 16 bancos-alvo para 349 instituições financeiras e plataformas de criptoativos em 16 países. Paralelamente, o laboratório IBM Trusteer publicou análise detalhada sobre a expansão recente do GoldDigger, trojan vinculado ao grupo GoldFactory, agora visto em campanhas com foco crescente em países do Sul Global.
O funcionamento do ToxicPanda 2.0 explora um vetor clássico mas muito eficaz: o Serviço de Acessibilidade do Android. Depois de induzir a vítima a instalar o aplicativo malicioso e conceder a permissão, o vírus passa a ler tudo que aparece na tela, simula toques, cria sobreposições invisíveis sobre apps bancários para capturar senhas e PINs, e chega a simular atualizações de sistema para mascarar ações fraudulentas em segundo plano. A versão 2.0 também consegue ativar o modo desenvolvedor do dispositivo e obter controle de funções de administrador — capacidades que as versões anteriores não tinham. A distribuição da nova campanha usa infraestrutura em nuvem da Amazon AWS, o que dificulta rastreamento e bloqueio.
O GoldDigger segue uma lógica semelhante, mas com uma camada adicional de engenharia social: o malware se disfarça de aplicativos de companhias aéreas e lojas de varejo conhecidas, oferecendo promoções e cadastros falsos para atrair a vítima. Uma vez instalado, ele lê o conteúdo exibido no app de banco da vítima, captura os códigos de SMS de dupla autenticação e ordena transferências automáticas — tudo sem que o usuário perceba. Para dificultar a detecção por antivírus, o GoldDigger cria um ambiente virtual isolado dentro do dispositivo, executando os aplicativos financeiros dentro de uma “caixa de areia” controlada pelos criminosos.
A porta de entrada inicial dos dois vírus ainda depende de um erro do usuário: instalar apps fora das lojas oficiais ou conceder permissões de Acessibilidade de forma descuidada. Os especialistas recomendam nunca autorizar o uso de Serviços de Acessibilidade para apps desconhecidos, verificar periodicamente a lista de aplicativos instalados, manter o sistema sempre atualizado e, principalmente, substituir a verificação por SMS por um autenticador dedicado — como Google Authenticator ou Microsoft Authenticator — já que o GoldDigger é capaz de interceptar mensagens de texto em tempo real.
