Um trojano bancário Android ressurgente chamado RedHook retornou com uma nova técnica perigosa, sequestrando um recurso legítimo de desenvolvedor para assumir silenciosamente o controle profundo de telefones infectados. Em vez de depender de exploits complexos, o malware usa a depuração wireless ADB, uma ferramenta construída para desenvolvedores de aplicativos, para conceder privilégios normalmente reservados para processos de nível de sistema.
Descoberta e evolução da ameaça
O RedHook foi primeiro detectado por pesquisadores da Cyble em julho de 2025, mas sua forma mais recente mostra uma abordagem muito mais calculada para abuso de privilégios. O malware agora integra código do Shizuku, uma ferramenta de código aberto bem conhecida que entusiastas do Android usam para desbloquear permissões elevadas sem rootear o dispositivo.
Essa evolução marca uma escalada notável em relação às versões anteriores do malware, que se concentravam principalmente no monitoramento de tela e roubo de digitação. A capacidade de obter acesso de shell permite que o malware instale ou remova aplicativos, altere configurações seguras e capture entrada de toque bruta sem aprovação do usuário.
Vetor de ataque e exploração
O aplicativo malicioso é espalhado através de engenharia social, com atacantes se passando por funcionários do governo ou suporte bancário por chamadas telefônicas e aplicativos de mensagens como Zalo. As vítimas são guiadas para sites falsos estilizados para se assemelhar à Google Play Store, onde são enganadas para baixar um APK malicioso.
Uma vez instalado, o aplicativo empurra os usuários por um fluxo de onboarding falso para habilitar o Serviço de Acessibilidade, enquadrando-o como uma etapa rotineira necessária para usar o aplicativo corretamente. O malware então usa esse serviço para ativar as Opções de Desenvolvedor e habilitar a Depuração Wireless.
Impacto e alcance
O RedHook tem expandido seu alcance além do Vietnã para incluir usuários na Indonésia, apontando para uma campanha mais ampla no Sudeste Asiático. A capacidade de obter acesso de shell permite que o malware execute comandos privilegiados, como streaming de vídeo sobre RTMP, contornando a tela de consentimento usual do Android.
O impacto pode ser significativo para usuários individuais e instituições financeiras. O acesso de shell permite que o malware capture dados sensíveis, como senhas e mensagens, e execute ações maliciosas sem detecção.
Medidas de mitigação recomendadas
As instituições financeiras devem implantar ferramentas de monitoramento de sessão para detectar atividade de malware antes que os clientes entrem em detalhes sensíveis. A proteção digital de risco pode ajudar a identificar sites falsos que copiam sua marca.
Para usuários individuais, o conselho é mais simples, mas tão importante: evitar clicar em links desconhecidos, instalar aplicativos apenas de lojas oficiais e tratar qualquer solicitação de permissão do Serviço de Acessibilidade com real suspeita.
Perguntas frequentes
Como identificar se meu Android foi infectado?
Procure por aplicativos desconhecidos, solicitações de permissão suspeitas e comportamento anômalo do dispositivo, como aquecimento ou consumo de bateria elevado.
Devo desabilitar a depuração wireless?
Sim, a depuração wireless deve ser desabilitada quando não estiver em uso. Isso reduz a superfície de ataque para ataques como o RedHook.
Qual a relação com a LGPD?
O roubo de dados pessoais pode violar a Lei Geral de Proteção de Dados, exigindo notificação às autoridades e afetados.