Hackers usam uma versão falsa do Google Play para minerar criptomoedas e roubar fundos

Traders Union
Todas as Notícias
Criptomoedas
Hackers usam Google Play falso

Todas as notícias

Principais Notícias

Escolhas dos editores

Criptomoedas

Notícias financeiras

Moedas

Vozes do Mercado

Empresas

Reguladores

Bancos centrais

Sergey Shendetskyi

22.03.2026

Hackers usam uma versão falsa do Google Play para minerar criptomoedas e roubar fundos — Usuários do Android são alvo de aplicativos falsos

Uma nova campanha maliciosa direcionada a usuários do Android foi detectada no Brasil. Os atacantes disfarçam páginas de phishing como se fossem a Google Play Store oficial e distribuem aplicativos que, uma vez instalados, são usados para mineração secreta de criptomoedas e roubo de fundos.

Este artigo foi traduzido do original. Leia a versão original do nosso correspondente aqui.

De acordo com a Cryptopolitan, o ataque combina engenharia social com métodos tecnicamente sofisticados, tornando-o difícil de detectar até mesmo para usuários experientes.

Como o ataque funciona

Como observa a SecureList, a campanha começa com um site de phishing que imita a interface do Google Play. Os usuários são solicitados a baixar um aplicativo chamado INSS Reembolso, supostamente vinculado ao sistema de previdência social do Brasil.

Uma vez instalado, o malware é implantado em etapas: primeiro ele baixa componentes criptografados e, em seguida, executa a carga útil principal diretamente na memória do dispositivo. Essa abordagem não deixa arquivos visíveis, mantendo a atividade oculta para o usuário.

O malware também verifica se está sendo executado em um ambiente emulado e é encerrado se a análise for detectada. Quando o dispositivo é considerado "seguro", ele carrega módulos adicionais, incluindo um minerador baseado em XMRig adaptado para dispositivos ARM. Isso conecta o smartphone à infraestrutura controlada pelo invasor e minera a criptomoeda em segundo plano.

Para não ser detectado, o programa monitora as condições do dispositivo, como o nível da bateria, a temperatura e a atividade do usuário, ativando a mineração somente em condições adequadas. Ele também contorna as restrições do Android reproduzindo um arquivo de áudio quase inaudível para simular a atividade do aplicativo.

Roubo e acesso remoto

Os recursos do malware vão além da mineração. Em alguns casos, ele instala um trojan bancário direcionado aos usuários da Binance e da Trust Wallet, especialmente durante transações de USDT.

O malware sobrepõe interfaces falsas sobre aplicativos legítimos e substitui silenciosamente os endereços de carteira. Como resultado, os fundos são redirecionados sem que o usuário perceba.

Além disso, os dispositivos infectados podem ser usados para gravar áudio, capturar imagens de tela, enviar mensagens SMS e registrar a atividade do usuário. O comando e o controle são realizados por meio do Firebase Cloud Messaging, um serviço legítimo do Google, o que dificulta a detecção.

Algumas variantes também implementam o BTMOB, uma ferramenta de acesso remoto distribuída em um modelo de malware como serviço. Ela dá aos invasores controle total sobre o dispositivo, incluindo acesso à câmera, ao GPS e às credenciais.

Por que isso é importante para o mercado

O caso no Brasil destaca como as ameaças no setor de criptografia estão evoluindo. Embora os riscos anteriores estivessem principalmente ligados a explorações de protocolo, os invasores agora estão cada vez mais visando os usuários por meio de phishing, interfaces falsas e engenharia social.

Esses esquemas estão se tornando generalizados. Ferramentas de MaaS, como o BTMOB, reduzem a barreira de entrada, acelerando a disseminação de ataques. Como resultado, mesmo o uso de plataformas confiáveis não garante a segurança.

Para as empresas, isso significa investir não apenas na segurança da infraestrutura, mas também na proteção das interações dos usuários - desde avisos até o monitoramento de domínios falsos. A Binance e o Google já estão expandindo esses esforços, mas os invasores continuam a se adaptar rapidamente.

Para os usuários, a lição é clara: é fundamental verificar as fontes e evitar links de terceiros. À medida que o phishing cresce, a vigilância se torna a principal linha de defesa.

Ao mesmo tempo, os riscos estão se expandindo nos ecossistemas. Recentemente, o Google identificou vulnerabilidades no iOS que têm como alvo frases-semente de carteiras de criptografia. Os pesquisadores do Google Threat Intelligence Group descobriram um kit de ferramentas chamado Coruna, projetado para comprometer iPhones que executam versões do iOS de 13.0 a 17.2.1. Isso confirma que os ataques estão se tornando multiplataforma e afetam os usuários independentemente do sistema que utilizam.

Este material pode conter opiniões de terceiros, nenhum dos dados e informações nesta página constitui aconselhamento de investimento de acordo com o nosso Aviso Legal. Embora sigamos rigorosos Padrões Editoriais, este post pode conter referências a produtos de nossos parceiros.

Gostou do artigo?