Uma nova geração de um trojan bancário para Android com historial de infeções em Portugal acaba de ser documentada por investigadores de segurança. A equipa zLabs da Zimperium publicou a 19 de agosto de 2026 uma análise do ToxicPanda 2.0, uma versão profundamente reescrita do malware que a empresa apresentou como uma evolução significativa das capacidades técnicas e da escala da campanha de fraude. A nova variante suporta 167 comandos remotos e sobreposições de phishing dirigidas a 349 aplicações bancárias, financeiras, de criptomoedas e carteiras digitais em 16 países, além de um módulo separado de captura de PIN que visa 140 aplicações e cuja lista de alvos pode ser atualizada dinamicamente. Para efeitos de comparação, a investigação original da Cleafy, em 2024, identificara uma botnet com mais de 1500 dispositivos infetados em Itália, Portugal, Espanha e América Latina, visando 16 instituições bancárias.
Resposta rápida: O ToxicPanda 2.0 é um trojan bancário para Android que se instala fora da Google Play e pede permissões de VPN para bloquear a comunicação da loja e dos serviços Google, instalando depois a carga maliciosa escondida na aplicação. Abusa dos Serviços de Acessibilidade para sobrepor ecrãs falsos a 349 aplicações financeiras e capturar PIN em mais de 140 aplicações, incluindo o código de desbloqueio do próprio telemóvel. Não instale aplicações fora da Google Play, revogue permissões de acessibilidade e de VPN que não reconheça e, em caso de suspeita, contacte o seu banco e reporte ao CERT.PT.
De 16 para 349 aplicações: o salto de escala
O ToxicPanda não é uma novidade absoluta. A Cleafy descreveu-o publicamente em novembro de 2024 e a família ficou conhecida por representar uma mudança geográfica invulgar: operadores associados a atores de língua chinesa a dirigirem-se a bancos europeus e latino-americanos. Segundo a Cleafy, a propagação assentava em engenharia social que levava as vítimas a instalar a aplicação lateralmente (sideloading) e, uma vez instalada, o malware explorava os serviços de acessibilidade do Android para obter permissões elevadas e executar ações não autorizadas.
Em 2025, a Bitsight TRACE acompanhou a evolução da família e documentou melhorias como a integração de um algoritmo de geração de domínios (DGA) para reforçar a resiliência da infraestrutura, técnicas melhoradas de evasão a sandbox, conjuntos de comandos alargados, mecanismos de persistência refinados e rotinas de cifra atualizadas. Essa mesma investigação apontava a distribuição por país com Itália à cabeça, seguida de Portugal.
| Aspeto | ToxicPanda (2024, Cleafy) | ToxicPanda 2.0 (2026, Zimperium zLabs) |
|---|---|---|
| Alvos financeiros | 16 instituições bancárias | 349 aplicações bancárias, financeiras, de carteiras digitais e cripto |
| Abrangência geográfica | Itália, Portugal, Espanha e América Latina | 16 países |
| Comandos remotos | Conjunto limitado, com funções por implementar | 167 comandos, incluindo funções antes inativas |
| Captura de PIN | Não documentada nesta forma | Módulo dedicado com mais de 140 aplicações-alvo |
| Escalada de privilégios | Baseada em acessibilidade | Automação da Depuração Sem Fios (ADB) para acesso shell |
Como decorre a infeção, passo a passo
A cadeia de ataque descrita pela Zimperium começa com um dropper — uma aplicação aparentemente inofensiva que serve apenas para instalar a verdadeira ameaça. Segundo os investigadores, o malware pede privilégios de serviço VPN para bloquear a comunicação de rede da Google Play e dos Google Play Services no dispositivo da vítima, apresentando para isso um ecrã de instalação falso numa WebView; preparado o terreno, decifra e extrai a carga real guardada na pasta de assets da aplicação e avança com a instalação. Só depois solicita as permissões de Serviços de Acessibilidade.
O truque da VPN é o detalhe mais engenhoso: em vez de tentar desativar proteções, o malware limita-se a interpor-se no tráfego local para silenciar os canais que poderiam sinalizar a aplicação. Quanto à distribuição, a Zimperium indica que o ToxicPanda 2.0 tem sido difundido através de buckets alojados na Amazon AWS.
| Fase | O que acontece no dispositivo |
|---|---|
| 1. Entrega | Ficheiro APK obtido fora da Google Play, alojado em armazenamento na nuvem |
| 2. Falsa instalação | Ecrã em WebView pede permissão de serviço VPN |
| 3. Silenciamento | Bloqueio da comunicação da Google Play e dos Google Play Services |
| 4. Instalação da carga | Decifra e instala o payload escondido na pasta assets |
| 5. Acessibilidade | Pedido de Serviços de Acessibilidade para leitura e automação do ecrã |
| 6. Reconhecimento | Envio de nomes de pacote e ícones das apps instaladas para o C2 |
| 7. Fraude | Sobreposições HTML, captura de PIN e controlo remoto via WebSocket |
Dois caminhos para roubar credenciais
Depois de instalado, o trojan inventaria as aplicações presentes e envia nomes de pacote e ícones para o servidor de comando e controlo; quando a vítima abre uma aplicação financeira visada, os operadores podem entregar uma sobreposição HTML de phishing desenhada para imitar o ecrã de início de sessão ou de transação. Em paralelo, o malware monitoriza a aplicação em primeiro plano através dos Serviços de Acessibilidade e pode usar sobreposições transparentes para recolher os toques introduzidos pela vítima — camadas que, segundo os investigadores, são invisíveis para o utilizador.
A flexibilidade operacional também aumentou: através do comando replacePinTargets, os operadores podem substituir remotamente nomes de pacote e palavras-chave dos alvos, adaptando campanhas sem produzir uma nova versão do malware. E há uma novidade particularmente incómoda: o relatório indica que o malware consegue roubar as credenciais do ecrã de bloqueio, colocando sobreposições por cima desse ecrã. Na prática, isso significa entregar ao atacante o PIN, padrão ou palavra-passe do próprio telemóvel.
Depuração sem fios: uma porta lateral pouco vigiada
O elemento tecnicamente mais relevante desta versão é o abuso de uma funcionalidade que a maioria dos utilizadores nunca tocou. A zLabs descreve que o ToxicPanda 2.0 abusa dos Serviços de Acessibilidade para automatizar o processo de configuração da Depuração Sem Fios do Android, funcionalidade introduzida no Android 11 para ligações ADB por Wi-Fi. O resultado, segundo o relatório, é um mecanismo automatizado baseado em cliques que permite escalada de privilégios e acesso ao nível da shell nos dispositivos comprometidos.
Com acesso shell, muitas das barreiras habituais deixam de existir: torna-se possível executar comandos que contornam os fluxos normais de consentimento em tempo de execução, alargar permissões, reduzir restrições em segundo plano, ativar componentes e reforçar a persistência. A automação estende-se ainda às particularidades de cada fabricante: a capacidade catAllViewSwitch consegue identificar caixas de diálogo de permissões do sistema, avisos de otimização de bateria e definições de arranque automático específicas do fabricante, interagindo com elas através dos Serviços de Acessibilidade. Quanto às comunicações, o malware fala com o C2 através de um handshake HTTPS seguido de um canal WebSocket persistente, dando aos operadores execução de comandos bidirecional e de baixa latência.
Indicadores e medidas de mitigação
A Zimperium publicou uma lista de indicadores de compromisso associados a esta versão num repositório GitHub, que deve ser a referência para equipas de segurança que queiram alimentar SIEM, MISP ou plataformas de MTD. Do lado do utilizador e das equipas de TI, valem sobretudo os indicadores comportamentais:
- Ícone de VPN ativo sem que exista uma VPN corporativa ou pessoal configurada.
- Falhas persistentes de ligação da Google Play Store ou dos Google Play Services.
- Aplicações desconhecidas com Serviços de Acessibilidade ativos em
Definições > Acessibilidade. - Depuração sem fios ativada sem intervenção do utilizador, nas Opções de Programador.
- Ecrãs de início de sessão bancários com aspeto ligeiramente diferente do habitual, ou pedidos inesperados de PIN.
- Consumo anómalo de bateria e dados, ou exclusão da aplicação das otimizações de bateria sem autorização consciente.
Medidas práticas: instalar aplicações apenas a partir da Google Play ou de lojas de fabricante; manter o Play Protect ativo e verificar periodicamente se não foi desativado; nunca conceder acessibilidade a aplicações que não a justifiquem funcionalmente; desativar as Opções de Programador e a depuração sem fios; e, em ambiente empresarial, bloquear o sideloading por política de MDM. Em caso de suspeita de infeção, o mais seguro é isolar o dispositivo da rede, contactar o banco para suspender operações, alterar credenciais a partir de outro equipamento e efetuar reposição de fábrica.
Porque é que isto importa em Portugal
Portugal não é um espetador distante nesta história. A Cleafy indicou que o ToxicPanda visava sobretudo banca de retalho em Android e que a infeção se espalhou por Itália, Portugal, Espanha e algumas regiões da América Latina. Com um universo de alvos que passou de 16 para 349 aplicações, a probabilidade de aplicações usadas por clientes portugueses figurarem na lista aumenta substancialmente — ainda que a Zimperium não tenha publicado a lista nominal de instituições.
Para as empresas, o problema deixou de ser apenas de fraude ao consumidor. Um telemóvel pessoal usado para aceder a correio eletrónico corporativo, autenticação multifator ou aplicações internas passa a ser um endpoint comprometido com acesso shell nas mãos de terceiros. Isso tem implicações diretas no Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), que exige às entidades abrangidas medidas de gestão de risco proporcionais e notificação de incidentes significativos ao CNCS. Dispositivos móveis e política de BYOD entram nesse perímetro de gestão de risco. Se houver acesso indevido a dados pessoais de clientes ou colaboradores, aplicam-se ainda as obrigações do RGPD, incluindo a avaliação de notificação à CNPD no prazo de 72 horas e a comunicação aos titulares quando exista risco elevado.
Para cidadãos e PME, a recomendação prática mantém-se simples e é a mesma que o CNCS repete há anos a propósito de esquemas de engenharia social: desconfiar de pedidos inusitados, confirmar por canal alternativo qualquer ação crítica e reportar. O CNCS aconselha que, em caso de vitimização, sejam contactados o CERT.PT ([email protected]) e a Polícia Judiciária ([email protected]).
Perguntas frequentes
O ToxicPanda 2.0 está na Google Play?
Não há indicação disso. Segundo a Zimperium, a distribuição desta versão tem sido feita através de ficheiros alojados em armazenamento na nuvem, com instalação lateral pelo próprio utilizador. O malware chega a pedir permissões de VPN precisamente para bloquear a comunicação da Google Play e dos Google Play Services no dispositivo.
Como sei se o meu telemóvel está infetado?
Sinais a vigiar incluem um ícone de VPN ativo sem VPN configurada, falhas persistentes da Google Play Store, aplicações desconhecidas com Serviços de Acessibilidade ativos e a depuração sem fios ligada sem que a tenha ativado. Se detetar algum destes sinais, isole o dispositivo da rede e contacte o seu banco.
A autenticação multifator protege-me deste malware?
Ajuda, mas não é suficiente quando o segundo fator vive no mesmo telemóvel comprometido. Como o trojan lê o ecrã e controla o dispositivo remotamente, códigos por SMS ou aplicações no mesmo aparelho perdem eficácia. Chaves físicas FIDO2 ou confirmações num segundo dispositivo separado oferecem proteção mais robusta.
O que deve fazer uma PME se um telemóvel de trabalho for infetado?
Isolar o dispositivo, revogar sessões e credenciais associadas a partir de outro equipamento, repor o telemóvel de fábrica e avaliar se houve acesso a dados pessoais. Se a organização estiver abrangida pelo Regime Jurídico da Cibersegurança, deve avaliar o dever de notificação ao CNCS; havendo dados pessoais afetados, aplica-se também a avaliação de notificação à CNPD.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Zimperium zLabs, pela Cleafy, pela Bitsight TRACE e pelo CNCS/CERT.PT.