Um novo malware para dispositivos Android, denominado Mirax, tem sido identificado circulando silenciosamente em fóruns criminosos desde o final de 2025, representando uma ameaça crescente para usuários móveis na Europa e além. O que diferencia o Mirax dos trojans bancários típicos é seu propósito duplo: ele rouba credenciais bancárias enquanto simultaneamente converte telefones infectados em nós de proxy residencial, permitindo que os atacantes roteiem tráfego malicioso através do endereço IP legítimo da vítima.
O que é o malware Mirax
O Mirax funciona como uma oferta de Malware-as-a-Service (MaaS), alugada para afiliados criminosos que executam campanhas independentes usando uma plataforma compartilhada. Ao contrário da maioria das ferramentas MaaS de mercado aberto, o acesso é intencionalmente limitado a um pequeno número de afiliados de confiança, com preferência dada a atores de língua russa conhecidos nas comunidades de cibercrime subterrâneas. Essa distribuição controlada parece ser projetada para manter o malware operando silenciosamente pelo maior tempo possível, reduzindo as chances de descoberta precoce por pesquisadores de segurança.
Mecanismo de Proxy Residencial
Uma das capacidades mais alarmantes do Mirax é seu recurso de proxy residencial embutido, que vai muito além do que um trojan bancário padrão geralmente oferece. Usando o protocolo SOCKS5 e multiplexação Yamux sobre canais WebSocket, o malware cria um túnel de proxy persistente entre o telefone infectado e um servidor de retransmissão controlado pelos atacantes. Isso permite que os operadores roteiem sua atividade de internet através do endereço IP residencial real da vítima, fazendo com que o tráfego pareça vir de um usuário doméstico comum em vez de uma infraestrutura criminal.
O impacto prático disso é significativo. Com acesso ao endereço IP residencial de uma vítima, os atacantes podem contornar restrições geográficas, evadir sistemas de detecção de fraude e realizar ataques como tomada de conta de contas, fraude de transações e pulverização de senhas — tudo enquanto parecem um usuário doméstico regular em vez de um ator malicioso conhecido. Bancos e plataformas que dependem de verificações de fraude baseadas em IP estão particularmente expostos a essa abordagem.
Cadeia de Infecção e Vetores
A infecção começa com um anúncio em mídia social que leva as vítimas a um site de phishing que se passa por um serviço de IPTV ou streaming esportivo ilegal. Como esses tipos de aplicativos não estão disponíveis na Google Play Store, os usuários já estão confortáveis em instalar aplicativos de fora dos canais oficiais, o que torna a engenharia social muito mais fácil de executar. Os arquivos dropper são hospedados na página de lançamentos do GitHub e atualizados diariamente com novos hashes de pacote para evitar ferramentas de detecção baseadas em hash, mesmo que o conteúdo real do aplicativo permaneça inalterado entre essas atualizações.
Uma vez instalado, o dropper descriptografa silenciosamente e entrega o payload final do malware diretamente no dispositivo. Após a conclusão da instalação, o malware disfarça-se como um utilitário de reprodução de vídeo e imediatamente solicita ao usuário que habilite os Serviços de Acessibilidade. Uma vez que essa permissão é concedida, ele executa totalmente em segundo plano enquanto exibe uma página de erro falsa para o usuário, fazendo parecer que a instalação nunca foi concluída.
Implicações para CISOs e Equipes de Segurança
Para profissionais de segurança da informação, o Mirax representa um desafio significativo devido à sua natureza híbrida. A combinação de roubo de credenciais bancárias com o uso de proxy residencial cria um vetor de ataque que pode comprometer tanto a segurança financeira dos usuários quanto a integridade da rede corporativa se dispositivos móveis forem usados para trabalho. A capacidade de extrair valor de infecções incompletas, mesmo quando as vítimas negam a solicitação de Serviços de Acessibilidade, sinaliza uma estratégia de monetização madura e deliberada incorporada ao design do malware.
Recomendações de Mitigação
Usuários de Android são fortemente aconselhados a evitar o download de aplicativos de fora da Google Play Store, especialmente aqueles anunciados em mídias sociais. A revisão periódica de quais aplicativos receberam Serviços de Acessibilidade e a revogação de permissões para qualquer coisa não reconhecida também pode ajudar a detectar uma violação antes que ocorram danos significativos. As organizações devem considerar a implementação de políticas de segurança móvel que restrinjam a instalação de aplicativos de fontes desconhecidas e monitorem o tráfego de rede para detectar padrões de proxy incomuns.
Perguntas Frequentes
Como o Mirax difere de outros trojans bancários? O Mirax combina roubo de credenciais com a funcionalidade de proxy residencial, permitindo que os atacantes ocultem sua identidade e evitem detecção de fraude.
É possível remover o Mirax? Sim, a remoção requer a desinstalação do aplicativo malicioso e a revogação das permissões de Acessibilidade concedidas. Em casos graves, pode ser necessário um reset de fábrica.
Quais dispositivos são afetados? O malware afeta dispositivos Android que baixam aplicativos de fontes não oficiais, especialmente aqueles que clicam em anúncios de mídia social maliciosos.