Malware no Android altera transferências Pix no Brasil

A sofisticação do PixRevolution chama atenção porque ele não depende apenas de automação. Em muitos casos, há um operador humano acompanhando a tela da vítima em tempo real para decidir o momento exato de agir e alterar os dados da transferência.

O resultado é um golpe difícil de perceber: a vítima acredita ter enviado o dinheiro para o destinatário correto, enquanto o valor pode ter sido redirecionado para criminosos.

Leia mais:

Falhas no CNIS podem afetar concessão de benefícios

O que é o malware PixRevolution

O PixRevolution é um trojan bancário desenvolvido especificamente para dispositivos Android. Ele foi projetado para monitorar atividades financeiras no celular e interferir diretamente nas transações feitas via Pix.

Diferente de golpes tradicionais, que dependem apenas de links falsos ou engenharia social, esse malware age dentro do próprio dispositivo da vítima.

Depois de instalado, ele consegue:

• Ler textos exibidos na tela do celular
• Identificar quando uma transferência Pix está sendo feita
• Interagir com a interface do aplicativo bancário
• Alterar automaticamente a chave Pix do destinatário

Tudo acontece em poucos segundos e muitas vezes sem qualquer sinal perceptível para o usuário.

Como funciona o ataque na prática

O funcionamento do golpe segue uma sequência relativamente estruturada. O malware permanece oculto no celular até detectar sinais de uma operação financeira.

Detecção da transferência Pix

Quando o usuário abre um aplicativo bancário e inicia uma transferência via Pix, o malware passa a monitorar a tela do dispositivo.

O trojan contém mais de 80 frases em português relacionadas a pagamentos e transferências, incluindo expressões como:

• “pix enviado”
• “transferência concluída”
• “pagamento confirmado”

Ao identificar essas palavras, o sistema entende que uma operação financeira está acontecendo.

Interceptação da operação

No momento em que o usuário confirma o pagamento, o malware pode exibir uma tela falsa de carregamento com a mensagem “Aguarde…”.

Durante esse pequeno intervalo, o PixRevolution substitui automaticamente a chave Pix digitada pela vítima por outra pertencente aos criminosos.

A transação é então concluída normalmente.

Para o usuário, tudo parece ter ocorrido corretamente.

Acompanhamento em tempo real

Um dos elementos mais sofisticados do PixRevolution é o monitoramento em tempo real da tela do celular.

O malware usa a API MediaProjection do Android para capturar imagens da tela continuamente. Cada frame é comprimido e enviado para um servidor controlado pelos criminosos.

Isso permite que um operador remoto veja exatamente o que a vítima está fazendo no celular e escolha o momento ideal para executar o golpe.

Esse tipo de ataque híbrido, combinando automação e intervenção humana, tem se tornado cada vez mais comum em fraudes financeiras.

Como o malware é distribuído

O PixRevolution não aparece diretamente na loja oficial de aplicativos do Android. Em vez disso, os criminosos utilizam páginas falsas que imitam a interface da Google Play Store.

Esses sites reproduzem elementos da loja oficial, como:

• avaliações falsas
• descrição do aplicativo
• botão de instalação
• imagens promocionais

Ao clicar em “Instalar”, o usuário baixa um arquivo APK malicioso hospedado em servidores controlados pelos atacantes.

Aplicativos falsos usados no golpe

A investigação identificou diversos aplicativos falsos utilizados na campanha.

Entre os exemplos observados estão versões falsas de apps populares no Brasil, como:

• Expedia
• Correios
• XP Investimentos
• Sicredi
• AVG Antivirus

Também foram identificadas páginas que fazem referência ao Superior Tribunal de Justiça (STJ) e outros serviços conhecidos.

Alguns desses aplicativos atuam apenas como droppers, ou seja, programas cuja única função é instalar silenciosamente o trojan principal no aparelho.

Engenharia social para obter permissões perigosas

Após a instalação do aplicativo falso, o usuário é direcionado para uma tela de configuração que solicita a ativação de um serviço de acessibilidade chamado “Revolution”.

O texto exibido afirma que a permissão é necessária para habilitar funcionalidades do aplicativo e garante que nenhum dado pessoal será coletado.

Também são exibidas instruções específicas para aparelhos de fabricantes como:

• Samsung
• Xiaomi
• Motorola

Essa estratégia aumenta a credibilidade do processo e reduz as suspeitas da vítima.

Por que a permissão de acessibilidade é tão perigosa

Quando o usuário concede acesso ao serviço de acessibilidade, o aplicativo passa a ter controle amplo sobre o sistema.

Com essa autorização, o malware pode:

• Ler todo o conteúdo exibido na tela
• Executar toques e gestos automaticamente
• Interagir com outros aplicativos
• Monitorar atividades financeiras

Esse tipo de permissão é frequentemente explorado por malwares bancários porque permite manipular aplicativos legítimos sem precisar invadi-los diretamente.

Monitoramento constante do dispositivo

Depois de ativado, o PixRevolution estabelece uma conexão permanente com servidores de comando e controle, conhecidos como C2.

Segundo os pesquisadores da zLabs, a comunicação ocorre principalmente por:

• conexão TCP na porta 9000
• endpoint HTTP na porta 3030

Esses servidores recebem dados do aparelho infectado e enviam comandos para executar ações no dispositivo.

Na prática, isso transforma o celular da vítima em um terminal monitorado remotamente.

Ataque pode atingir qualquer banco no Brasil

Um dos fatores mais preocupantes é que o PixRevolution não depende de aplicativos bancários específicos.

Como o malware monitora a tela inteira do celular, ele pode funcionar com qualquer aplicativo que utilize Pix.

Isso inclui apps de bancos tradicionais e também de fintechs.

Entre as instituições cujos logotipos foram encontrados no código do malware estão:

• Nubank
• Itaú Unibanco
• Banco do Brasil
• Caixa Econômica Federal
• Santander Brasil
• PicPay
• PagSeguro
• Sicredi
• XP Investimentos

Esses elementos são usados para criar interfaces falsas durante o golpe e tornar a experiência mais convincente.

Por que o Pix virou alvo de criminosos

O sucesso do Pix no Brasil também acabou atraindo a atenção de criminosos digitais.

Algumas características do sistema facilitam golpes quando combinadas com engenharia social ou malware.

Transferências instantâneas

Diferente de TED ou DOC, o Pix é concluído em poucos segundos.

Isso reduz o tempo disponível para detectar fraudes ou cancelar operações suspeitas.

Disponibilidade 24 horas

O sistema funciona todos os dias da semana, inclusive à noite e em feriados.

Isso dificulta a atuação rápida de equipes antifraude em determinados casos.

Alta adoção no Brasil

Segundo o Banco Central, mais de 150 milhões de brasileiros já utilizam o Pix.

Mesmo que apenas uma pequena porcentagem de usuários seja vítima de golpes, o impacto financeiro pode ser enorme.

Como se proteger do malware PixRevolution

Especialistas em segurança digital recomendam algumas práticas simples que podem reduzir drasticamente o risco de infecção por malwares.

Baixe aplicativos apenas da loja oficial

Evite instalar arquivos APK fora da loja oficial do Android.

Sites que imitam a Play Store são uma das principais portas de entrada para malwares.

Desconfie de permissões de acessibilidade

Aplicativos comuns raramente precisam desse tipo de permissão.

Se um app desconhecido solicitar acesso à acessibilidade, isso pode ser um sinal de alerta.

Use antivírus confiável

Softwares de segurança podem detectar e bloquear arquivos maliciosos antes da instalação.

Verifique sempre a chave Pix

Antes de confirmar uma transferência, confira se o nome do destinatário exibido corresponde à pessoa ou empresa que deveria receber o pagamento.

Mantenha o sistema atualizado

Atualizações de segurança do Android ajudam a corrigir vulnerabilidades exploradas por malwares.

O que fazer se você cair em um golpe Pix

Caso uma transferência fraudulenta seja identificada, a orientação é agir rapidamente.

O Banco Central recomenda:

1. Contatar imediatamente o banco ou instituição financeira
2. Registrar um boletim de ocorrência
3. Solicitar o acionamento do Mecanismo Especial de Devolução (MED)

O MED é um sistema criado para tentar recuperar valores transferidos em casos de fraude.

Embora a devolução não seja garantida, quanto mais rápido o pedido for feito, maiores são as chances de recuperar o dinheiro.

Conclusão

O surgimento do PixRevolution mostra que golpes digitais continuam evoluindo à medida que novas tecnologias financeiras se popularizam. A combinação de malware, engenharia social e monitoramento em tempo real cria um cenário complexo para usuários e instituições financeiras. Mesmo assim, a maioria dos ataques ainda depende de um passo inicial do próprio usuário, como instalar aplicativos falsos ou conceder permissões perigosas.

Por isso, atenção redobrada ao baixar apps e revisar permissões do celular continua sendo uma das formas mais eficazes de evitar prejuízos.

Não perca nenhuma oportunidade de crédito e pagamento: acesse agora nossas últimas notícias no Seu Crédito Digital.