Notícia
Trojan Android StreamRAT se esconde em anúncios de streaming grátis e dá controle total do celular a golpistas
Rodrigo ColissiResumo: o StreamRAT, um novo trojan bancário para Android (sistema operacional móvel do Google), está sendo distribuído por anúncios em Meta (empresa dona do Facebook e do Instagram) e TikTok (plataforma de vídeos curtos) que prometem streaming de TV grátis. Com a permissão de Accessibility, os golpistas ganham controle total do celular — incluindo ver a tela, tocar e deslizar — e roubam dados bancários.
Introdução
Pesquisadores da Threat Fabric (empresa de cibersegurança especializada em fraude mobile) identificaram uma nova família de trojan bancário Android chamada StreamRAT, distribuída em massa por anúncios em redes sociais. A campanha, batizada de Steamtv Esp, imita um serviço de streaming de TV grátis e alcançou 570 mil usuários do Meta entre 11 de junho e 3 de julho de 2026, principalmente na Espanha.
O StreamRAT combina funções clássicas de fraude bancária com ferramentas de controle remoto em tempo real: o operador consegue ver a tela da vítima (por VNC direto ou por capturas discretas), executar toques e gestos, mostrar telas falsas de login e bloquear a interação com o dispositivo. O painel de controle encontrado sugere ainda um modelo de malware-as-a-service — ou seja, o framework pode ser alugado para outras quadrilhas rodarem campanhas próprias.
Por que importa para o Brasil
O padrão de ataque do StreamRAT é o mesmo usado pelos trojans bancários brasileiros há anos: abuso da permissão de Accessibility (recurso de acessibilidade do Android) + overlays falsos + controle remoto. A diferença é a escala da distribuição e a sofisticação da entrega — anúncios pagos em redes sociais no lugar de links por SMS ou WhatsApp.
Para o leitor brasileiro, a relevância é dupla: a técnica é idêntica à que já mira clientes de bancos nacionais, e a estrutura de entrega via anúncios e sideload de APK é um vetor que cresce em todo o mundo. Entender como o StreamRAT opera ajuda a reconhecer o padrão — inclusive em campanhas locais que usem as mesmas táticas.
Como funciona o ataque
A infecção segue uma cadeia de etapas, começando pelo anúncio enganoso até o controle total do dispositivo:
Cadeia de ataque do StreamRAT
A entrega: anúncios de streaming grátis
A infecção começa com anúncios em plataformas de Meta e TikTok que prometem um serviço gratuito de transmissão de TV. O site de isca verifica se o visitante usa Android, adapta as instruções conforme o aplicativo usado para abrir o link e guia a pessoa passo a passo: habilitar instalação de fontes desconhecidas, baixar o APK fora da loja oficial e conceder permissões.
A cadeia de download se apoia em um repositório do GitHub (plataforma de hospedagem de código) ligado à distribuição do trojan Mirax — os operadores reutilizaram a infraestrutura de entrega de uma família anterior, trocando apenas o payload final.
O dropper: launcher padrão e VPN quebrada
O primeiro estágio, o dropper, tenta se tornar o aplicativo de launcher padrão do dispositivo — assim, quando a vítima aperta o botão Home, cai de novo na interface do golpe, que segue guiando a instalação. Antes de baixar o payload final, o dropper também pode criar uma conexão VPN deliberadamente quebrada que interrompe o acesso à internet do aparelho (mas exclui o próprio aplicativo).
Segundo os pesquisadores, isso pode atrapalhar verificações de reputação online e análises baseadas em nuvem — a vítima fica sem internet, o que dificulta a busca por informações sobre o app e reduz a chance de bloqueio por serviços de segurança baseados em nuvem.
O poder do Accessibility
Depois de instalado, o StreamRAT pede à vítima para ativar os Accessibility Services — um recurso legítimo do Android criado para auxiliar pessoas com deficiência, mas que, nas mãos erradas, permite ler o que está na tela e executar ações como toques, deslizes, voltar ao início e abrir notificações.
Com essa permissão, o trojan oferece dois modos de visualização:
- VNC direto — usa o sistema de captura de tela do Android para transmitir a imagem em tempo real ao operador.
- VNC oculto — tira capturas de tela repetidas via Accessibility, sem o indicador de compartilhamento de tela, tornando a espionagem muito mais difícil de perceber.
Além de ver a tela, o StreamRAT reconstrói a interface como texto estruturado, captura o que é digitado, lista os aplicativos instalados e exibe overlays falsos de login — páginas idênticas às de bancos e apps de pagamento para roubar as credenciais.
Bloqueio de input e roubo de dados
O operador pode mostrar uma tela preta ou uma falsa tela de atualização que bloqueia a interação da vítima enquanto trabalha em segundo plano. O resultado é mais que espionagem: o golpista monitora qual app a vítima abre, entrega uma página falsa correspondente, coleta o que ela digita e usa informações de desbloqueio interceptadas para acessar o dispositivo. Com isso, sessões bancárias, mensagens e contas sensíveis ficam expostas.
A comunicação do StreamRAT com o servidor de comando e controle usa conexões WebSocket e evita desperdiçar banda pulando dados duplicados de tela e interface — um sinal de engenharia voltada a operações remotas confiáveis em escala.
Como identificar o ataque (IOCs)
A Threat Fabric publicou os indicadores das amostras analisadas. Os valores servem como pistas de detecção, não como prova de que todo dispositivo correspondente está comprometido:
| Tipo | Indicador | Descrição |
|---|---|---|
| SHA-256 | e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c | Amostra StreamRAT (app StrεαmTV Pro) |
| Pacote | io.base.one887 | Pacote do app StrεαmTV Pro |
| SHA-256 | ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3 | Amostra StreamRAT (app Sistema de vídeo) |
| Pacote | io.meat.hint | Pacote do app Sistema de vídeo |
| IP C2 | 45.147.28.59 | Infraestrutura de comando e controle |
| IP C2 | 193.32.2.245 | Infraestrutura de comando e controle |
Como se proteger
Não baixe APK por anúncios. Evite aplicativos oferecidos por anúncios em redes sociais, mensagens ou sites não oficiais — especialmente serviços de streaming "grátis" e "atualizações urgentes". A loja oficial (Google Play) é o canal mínimo aceitável; apps bancários, só pelos canais oficiais do banco.
Negue permissões inesperadas. Desconfie de pedidos de Accessibility, instalação de fontes desconhecidas ou acesso a VPN fora de contexto. Um app de streaming não precisa de Accessibility — e nenhum app legítimo pede esse conjunto de permissões junto.
Verifique o launcher e os apps instalados. Se o botão Home abriu uma tela estranha ou um app desconhecido apareceu instalado, é sinal de dropper em ação. Remova imediatamente apps que você não reconhece.
Fique atento a telas de bloqueio e VPN quebrada. Uma tela preta ou de "atualização" que não responde, combinada com a internet parando do nada, pode indicar que o operador está agindo em segundo plano.
Monitore em organizações. Equipes de segurança devem sinalizar atividade anômala de Accessibility, capturas de tela inesperadas, mudança do launcher padrão e instalações de apps fora de lojas gerenciadas. Ferramentas como o Wazuh ajudam a centralizar o monitoramento mobile; o pestudio auxilia na análise estática de APKs suspeitos.
Entenda o padrão brasileiro. O modus operandi é o mesmo dos trojans bancários nacionais, como os analisados na cobertura do BREEZE COMET: engenharia social forte, permissões abusivas e fraude em tempo real. Reconhecer o padrão é metade da defesa.
Conclusão
O StreamRAT mostra como a fraude bancária mobile virou uma indústria: distribuição em massa por anúncios pagos, entrega multi-estágio reutilizando infraestrutura conhecida, abuso de um recurso legítimo do Android (Accessibility) e um painel que parece pronto para venda como serviço. Para o usuário, a defesa passa por uma regra simples — nunca instale apps de anúncios ou links, e negue permissões de acessibilidade a quem não precisa delas. Para bancos e organizações, a lição é monitorar o comportamento do dispositivo, não só o tráfego: a Accessibility anômala, o launcher trocado e as capturas de tela são sinais mais confiáveis que qualquer assinatura de rede isolada.
Perguntas frequentes
O que é o StreamRAT?
É um trojan bancário Android descoberto pela Threat Fabric, distribuído por anúncios de streaming grátis em redes sociais. Com a permissão de Accessibility, dá ao operador controle remoto do celular: ver a tela, executar toques, mostrar telas falsas e roubar credenciais.
Como o StreamRAT é distribuído?
Por anúncios em plataformas como Meta e TikTok prometendo streaming de TV grátis. O site de isca orienta a vítima a habilitar fontes desconhecidas e instalar um APK fora da loja oficial, em um processo de instalação multi-estágio.
O que é VNC oculto?
É um modo de espionagem que tira capturas de tela repetidas usando a permissão de Accessibility, sem o indicador de compartilhamento de tela do Android. Assim, o operador vê tudo sem que a vítima perceba que a tela está sendo transmitida.
O StreamRAT afeta brasileiros?
A campanha observada mirou usuários de língua espanhola, principalmente na Espanha. Porém, o padrão de ataque é idêntico ao dos trojans bancários brasileiros, e a infraestrutura pode ser reutilizada para campanhas em outros países — o risco para o Brasil é direto.
Como saber se meu celular está infectado?
Sinais incluem um launcher desconhecido após apertar Home, apps instalados que você não reconhece, permissões de Accessibility concedidas a apps suspeitos, tela preta ou de "atualização" que bloqueia o uso e internet parando sem motivo (VPN quebrada pelo dropper).
O que fazer se meu celular foi infectado?
Desconecte o aparelho da internet, desative as permissões de Accessibility dos apps suspeitos, remova os apps desconhecidos e troque as senhas dos aplicativos bancários e contas sensíveis de outro dispositivo. Se houver sinais de fraude, contate o banco imediatamente.
O que é malware-as-a-service?
É o modelo em que o criador do malware vende ou aluga o acesso ao framework e ao painel de controle para outras quadrilhas, que rodam suas próprias campanhas sem precisar desenvolver nada. O painel do StreamRAT sugere que ele pode operar nesse modelo.
Fontes e leituras adicionais
- Cyber Security News — New StreamRAT Android Trojan Gives Hackers Full Remote Control Through VNC and Accessibility — 03/09/2026
- Threat Fabric — From Meta Ads to Full Device Takeover: Uncovering StreamRAT — 03/09/2026