A app de TV grátis daquele anúncio no Facebook entrega o seu telemóvel a outra pessoa

O anúncio parecia mil outros: uma app grátis para ver canais de televisão, em espanhol, com um grande botão de transferência. Por trás estava o StreamRat, um novo trojan para Android que os investigadores da ThreatFabric descreveram a 2 de setembro e que a Malwarebytes desenvolveu no dia seguinte. A própria biblioteca de anúncios da Meta mostra que cerca de 570.000 contas na UE viram os banners entre 11 de junho e 3 de julho, e as mesmas peças circularam no TikTok. Quase todas as vítimas observadas estavam em Espanha.

A parte engenhosa não é o malware, é o acompanhamento. O site de transferência verifica que está em Android antes de mostrar o que quer que seja, depois oferece um ficheiro chamado app.apk e guia-o, passo a passo, a ativar "instalar de origens desconhecidas" e a conceder à app o acesso de Acessibilidade. Cada aviso do Android é explicado como uma parte normal da configuração. Com a Acessibilidade concedida, o StreamRat pode ler o que está no ecrã, registar o que escreve, sobrepor uma página de início de sessão falsa à sua verdadeira app bancária, bloquear o ecrã com uma falsa mensagem de "atualização" enquanto outra pessoa usa o telemóvel, e controlar o dispositivo à distância sem que o veja.

A regra que teria travado tudo é curta: um site que lhe ensina a contornar um aviso de segurança é o aviso. As apps vêm da Google Play, ponto final, e nenhuma app de streaming precisa da permissão de Acessibilidade. Se instalou algo assim, remova-o e depois mude as palavras-passe do banco e do e-mail a partir de outro dispositivo, porque o telemóvel pode continuar vigiado.

O mesmo truque existe no Windows, onde uma página de transferência explica como passar por cima do SmartScreen. A verificação de Segurança do Tendvane procura o software indesejado que costuma chegar por esse caminho, embora não remova malware; isso é trabalho do seu antivírus.