Pesquisadores de cibersegurança divulgaram detalhes de um novo trojan bancário para Android chamado StreamRat, promovido a usuários de língua espanhola por meio de uma falsa campanha de streaming de TV no Meta. O malware é capaz de dar aos operadores controle quase total sobre dispositivos infectados.
A ThreatFabric informou que a campanha tinha foco na Espanha e alcançou cerca de 570.950 contas do Meta na União Europeia, que a visualizaram ao menos uma vez. Os números de dispositivos infectados e de vítimas confirmadas não foram informados.
A tomada do aparelho exige que a vítima conceda uma sequência de permissões após instalar manualmente o APK. O usuário deve interromper a instalação se um app de streaming solicitar controles do sistema que não tenham relação com a reprodução de vídeo.
“Há poucas dúvidas de que o StreamRat é uma ameaça nova e tecnicamente sofisticada, desenvolvida por pessoas com experiência anterior no ecossistema de malware para Android”, afirmou a ThreatFabric em sua análise.
A empresa não atribuiu a campanha a um threat actor específico. Depois que o acesso à Acessibilidade é habilitado, os operadores podem capturar teclas digitadas, exibir sobreposições para roubo de credenciais, inspecionar a interface visível e controlar o dispositivo remotamente.
A campanha começa quando o isca em rede social direciona o usuário de Android para um site especialmente criado. A página verifica o sistema operacional do visitante e exibe o botão de download apenas para dispositivos Android.
O visitante então pode baixar um arquivo chamado app.apk. A vítima executa o APK e o dropper pede para se tornar o app padrão de tela inicial do aparelho, fazendo com que a interface seja aberta sempre que o botão Home for pressionado.
Antes de buscar o payload final, o dropper solicita permissão para estabelecer uma conexão VPN. Depois de aprovado, o tráfego do dispositivo é roteado para uma interface sem função, enquanto o próprio dropper fica fora desse redirecionamento.
Na página principal, o dropper baixa o payload do StreamRat para o diretório público Downloads com o nome update_{timestamp}.apk. Em seguida, solicita permissão para instalar aplicativos de fontes desconhecidas.
Após a aprovação, ele instala o payload por meio do mecanismo de instalação de pacotes do Android. O StreamRat é então executado e solicita acesso à Acessibilidade. Depois que o usuário concede essa permissão, o malware se conecta ao seu servidor de comando e controle (C2).
A interface da VPN não encaminha tráfego, o que faz com que outros aplicativos percam a conexão com a internet durante a instalação. O dropper encerra a VPN depois que o payload é executado, permitindo que o StreamRat se comunique com seu servidor C2.
A ThreatFabric avaliou que essa interrupção pode reduzir verificações online de reputação e análise de código. O Google Play Protect mantém a detecção offline de aplicativos potencialmente nocivos já conhecidos, o que limita o efeito dessa técnica sobre o serviço.
Para realizar uma captura visível da tela, o StreamRat chama a API MediaProjection do Android, que exibe uma janela de consentimento e costuma ser identificada por um indicador de compartilhamento de tela.
O malware pode usar a Acessibilidade para interagir com a janela de consentimento depois que a vítima concede essa permissão. Um segundo modo usa o método takeScreenshot() da Acessibilidade para capturar a tela sem o indicador do MediaProjection.
A ThreatFabric informou ainda que o StreamRat foi promovido no TikTok. As evidências públicas específicas sobre o TikTok se limitaram a código da página de destino capaz de identificar a rede social como aplicativo de origem. Não foram apresentados registros de anúncios nem estimativa de alcance na plataforma.
Os mesmos banners provavelmente também foram exibidos no Facebook e no Instagram, embora o principal posicionamento no Meta não tenha sido determinado.
A aplicabilidade da ameaça está ligada ao comportamento de instalação e às permissões solicitadas, já que não foi divulgada uma faixa de versões do Android afetada.
A empresa compartilhou os seguintes indicadores de comprometimento (IoCs):
SHA-256: e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c
Pacote: io.base.one887
Aplicativo: StrεαmTV Pro
SHA-256: ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3
Pacote: io.meat.hint
Aplicativo: Sistema de vídeo
IP do C2: 45.147.28[.]59
IP do C2: 193.32.2[.]245
A campanha no Meta começou em 11/06/2026 e terminou em 03/07/2026. A identificação ocorreu no fim de julho de 2026, e os achados foram publicados em 02/09/2026.
O payload do StreamRat veio de uma conta no GitHub que a ThreatFabric associou a uma campanha anterior do Mirax. O dropper era muito semelhante ao usado naquela operação.
“Os droppers são hospedados por meio de GitHub releases, com diferentes links de backup e atualizações diárias do pacote”, disse a Cleafy em seu relatório sobre o Mirax.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...