Introdução
O StreamRAT é um novo trojan bancário para Android que dá aos criminosos amplo controle de um telefone infectado. Ele combina ofertas de streaming com visualização de tela, ações remotas e janelas de login enganosas, transformando o download de um aplicativo em uma tomada de conta.
Descoberta e escopo
A campanha visou usuários de Android de língua espanhola por meio de anúncios nas plataformas Meta e TikTok. Um impulso de publicidade observado atingiu 570.000 usuários do Meta entre 11 de junho e 3 de julho de 2026, principalmente na Espanha. Ele identificou o malware enquanto rastreava a campanha de streaming chamada Steamtv Esp.
Os operadores usaram um site de phishing e um processo de instalação em várias etapas para direcionar os visitantes a instalar um pacote Android fora dos canais oficiais. O relatório da Threat Fabric disse que a cadeia de download recorreu a um repositório GitHub vinculado à distribuição Mirax, mostrando como os operadores reutilizaram a infraestrutura de entrega enquanto alteravam o payload final.
Vetor e exploração
Após a instalação, o StreamRAT pede à vítima que ative os Serviços de Acessibilidade do Android, um recurso legítimo destinado a auxiliar os usuários. Nas mãos erradas, essa permissão pode ler o que está na tela e realizar ações como toques, deslizes, retorno à tela inicial ou abertura de notificações.
O trojan suporta dois modos de visualização. Sua opção VNC usa o sistema de captura de tela do Android, enquanto o VNC oculto tira fotos repetidas através da Acessibilidade sem um indicador direto de compartilhamento de tela. Ambos dão aos atacantes uma visão do telefone e suportam interação remota.
O StreamRAT também pode reconstruir a tela como texto de interface estruturado, capturar dados digitados, listar aplicativos instalados e mostrar sobreposições de roubo de credenciais.
Impacto e alcance
O resultado é mais do que espionagem. Um operador pode monitorar o aplicativo que uma vítima abre, entregar uma página falsa correspondente, coletar detalhes inseridos lá e usar informações de desbloqueio interceptadas para acessar o dispositivo. Essa combinação coloca sessões bancárias, mensagens e outras contas sensíveis em risco.
O painel de controle também parece projetado para um modelo de malware como serviço, o que poderia permitir que clientes executassem campanhas usando a mesma estrutura.
Medidas de mitigação recomendadas
Os usuários devem evitar downloads de APK oferecidos por meio de anúncios, mensagens ou sites não oficiais, especialmente serviços que prometem streaming gratuito ou atualizações urgentes.
Eles devem negar solicitações inesperadas de Acessibilidade, instalação de aplicativos desconhecidos ou acesso VPN, e remover aplicativos não familiares prontamente. Um aplicativo que combina capacidade de instalação com permissões VPN merece escrutínio imediato.
Para organizações, o monitoramento de dispositivos móveis deve sinalizar atividade incomum de Acessibilidade, solicitações inesperadas de captura de tela, alterações de launcher padrão e aplicativos recém-instalados fora de lojas gerenciadas.
Perguntas frequentes
Como o malware é distribuído? Através de anúncios em redes sociais prometendo streaming gratuito.
Quais permissões ele solicita? Acessibilidade, instalação de fontes desconhecidas e acesso VPN.
Como se proteger? Evite downloads de APK fora das lojas oficiais e negue permissões suspeitas.