A fraude bancária no Android acabou de ficar fácil de comprar. Pesquisadores da zLabs, da Zimperium, identificaram o RedWing, um Malware-as-a-Service vendido por assinatura em um canal do Telegram, com documentação, vídeos tutoriais, desconto por indicação e um bot que gera o APK malicioso sob demanda. Na prática, um atacante sem qualquer conhecimento técnico monta um trojan bancário em minutos.

O que o RedWing faz no dispositivo

Uma vez instalado, ele dá controle quase total ao operador: sobreposições falsas (overlays) sobre apps bancários e de criptomoedas para roubar credenciais, interceptação de SMS para capturar códigos 2FA, abuso do Accessibility Service para extrair PINs, número de cartão e CVV direto da tela, e desvio de chamadas via código *21* para anular verificações antifraude por telefone. Some a isso VNC em tempo real, keylogger, acesso a arquivos, contatos e localização, e ativação remota de câmera e microfone. Os aparelhos infectados podem virar nós de um botnet para ataques DDoS (Zimperium).

Como o ataque chega até a vítima

Tudo começa com phishing por SMS ou mensageria, que leva a uma página falsa de loja de aplicativos. O construtor do RedWing imita Google Play, Galaxy Store e Huawei AppGallery, com avaliações, comentários e contadores de download forjados. Depois da instalação, um módulo chamado "Onboarding Constructor" disfarça os pedidos de permissão de etapas de rotina. As três permissões-chave: desativar a otimização de bateria, tornar-se o app padrão de SMS (essencial para o 2FA) e acessar notificações (Zimperium).

A virada: fraude vendida como assinatura

O RedWing é tratado como produto comercial de nível profissional, com planos e suporte, tudo dentro do Telegram. A Zimperium o aponta como variante ou rebranding do RAT Oblivion, vendido a partir de US$ 300 por mês desde fevereiro de 2026 e com mais de 7.500 dispositivos já infectados (Certo Software; ANY.RUN). O efeito é claro: a barreira de entrada some e a fraude bancária móvel se industrializa.

Por que isso importa para o Brasil

Os 82 alvos observados até agora se concentram no setor financeiro russo, sem vítimas brasileiras confirmadas. Mas a lista de alvos muda a qualquer momento pelo painel de controle, e o mesmo padrão já opera aqui: em março de 2026, a própria zLabs revelou o PixRevolution, trojan feito para atacar o Pix, com overlays de marcas como Nubank, Itaú e Banco do Brasil e um operador em tempo real que troca a chave Pix no momento da confirmação da transferência. Como o Pix é instantâneo e irrevogável, a janela de recuperação é mínima (Zimperium; Dark Reading).

O que fazer agora

• Bloquear a instalação fora das lojas oficiais (sideloading) em dispositivos corporativos e BYOD via MDM/UEM.

• Alertar sobre pedidos de Accessibility Service e de "app padrão de SMS".

• Reduzir o OTP por SMS: priorizar TOTP, FIDO2/WebAuthn ou biometria.

• Adotar Mobile Threat Defense com detecção comportamental on-device.

• Monitorar falsificações da sua marca em lojas falsas e em canais como o Telegram.

• Revisar o antifraude por telefone, já que o desvio *21* pode neutralizá-lo em silêncio.

Conclusão

Quando o crime vira assinatura, volume e velocidade explodem. O RedWing mostra que a fraude bancária Android está a poucos cliques de qualquer comprador, e o PixRevolution prova que o mesmo playbook já roda no Brasil. Enxergar a sua marca nos canais de distribuição e defender o dispositivo na origem é o que encurta a janela do atacante.

A análise completa, com indicadores e leitura de risco, está no módulo Intelligence da plataforma de CTI da safe-e.

Fontes: Zimperium (zLabs) · Certo Software · iVerify · ANY.RUN · Dark Reading · The Hacker News · Infosecurity Magazine · Security Affairs.