Como se livrar do trojan bancário Hirudo para Android

Que tipo de malware é o Hirudo?

O Hirudo é um trojan bancário para Android com capacidades de acesso remoto. De acordo com uma investigação publicada pela equipa de Mobile Threat Intelligence da ThreatFabric, combina o roubo de credenciais no dispositivo com o controlo remoto em tempo real do dispositivo infetado. O Hirudo é distribuído através de aplicações isco disfarçadas de aplicações de compras, de vídeos para adultos ou de séries curtas, e pode substituir aplicações bancárias genuínas por cópias modificadas que desativam, a partir do seu interior, as próprias verificações de segurança dos bancos.

Visão geral do malware Hirudo

O Hirudo assenta numa arquitetura de duas fases. A primeira fase é um dropper, distribuído sob a forma de uma aplicação isco em categorias como compras (Shopora), vídeos para adultos (1V1 X) ou séries curtas (ZoyaTV, KoiShort). Estas aplicações carregam conteúdo real através de um WebView, pelo que a experiência parece legítima e a vítima não tem motivos imediatos para suspeitar.

Quando o dropper é executado, verifica discretamente se o payload do Hirudo já está instalado. Caso não esteja, apresenta uma falsa solicitação de atualização na aplicação e propõe a instalação do APK do payload como uma segunda aplicação. Uma das variantes analisadas ativa uma VPN do tipo "blackhole" durante a instalação, cortando o tráfego de Internet do dispositivo enquanto o payload é implementado silenciosamente em segundo plano.

Depois de ativo, o payload consegue intercetar compras dentro da aplicação. Quando o dropper desencadeia um pagamento, o payload apresenta uma página de pagamento falsa por cima, utilizando um WebView transparente. A página ostenta a marca do banco ou da carteira eletrónica da vítima e suporta oito idiomas. Qualquer PIN de pagamento introduzido pela vítima é capturado e enviado aos operadores, enquanto uma mensagem falsa de pagamento bem-sucedido é devolvida ao dropper.

Para além da fraude nos pagamentos, o Hirudo recolhe credenciais de acesso bancário através de solicitações específicas de cada banco à medida que o utilizador escreve. Uma sobreposição falsa de padrão em ecrã inteiro captura o padrão de desbloqueio do dispositivo e, em algumas versões, o payload lê o PIN, a palavra-passe ou o padrão introduzido no ecrã de bloqueio real através dos Serviços de Acessibilidade do Android. O malware permite a visualização do ecrã em tempo real através de WebRTC e ativa as câmaras frontal e traseira a pedido.

O Hirudo interceta também mensagens SMS, analisando 90 dias de histórico na primeira execução e monitorizando, a partir daí, os remetentes de bancos e carteiras configurados. Isto permite-lhe roubar palavras-passe de utilização única usadas na autenticação de dois fatores. O malware mantém um registo de 42 aplicações financeiras e dispõe de substitutos concebidos especificamente para oito aplicações bancárias indonésias, abrangendo sete bancos.

O processo de substituição das aplicações bancárias começa quando o Hirudo deteta uma aplicação-alvo através da Acessibilidade, verifica o respetivo certificado de assinatura e apresenta uma falsa solicitação de atualização. Em seguida, abre o desinstalador do Android para a aplicação genuína sem esperar pela confirmação do utilizador e transfere em paralelo o substituto modificado. Como o Android impede a instalação, como atualização, de uma aplicação assinada de forma diferente, o Hirudo tem de remover primeiro a original.

O substituto modificado mantém o nome do pacote e a versão originais, mas é assinado com uma chave de teste pública do Android. Uma única linha injetada na classe Application da aplicação carrega um motor de hooking autónomo construído com base no YAHFA e no Dobby, duas frameworks de código aberto para substituir métodos Java e intercetar funções nativas. O motor só é ativado quando está presente no dispositivo um ficheiro de ativação escrito pelo RAT.

Com o motor a funcionar dentro do próprio processo da aplicação bancária, as verificações de segurança da aplicação são viradas contra ela. O hook substitui o certificado de assinatura genuíno para ocultar a assinatura com a chave de teste, devolve uma lista vazia de serviços de Acessibilidade para que o serviço de controlo fique invisível e remove a flag de bloqueio de capturas de ecrã, permitindo que o ecrã bancário seja visualizado e gravado remotamente.

Os pedidos Play Integrity da aplicação modificada são reencaminhados através de HTTP simples para um servidor controlado pelos operadores, em vez de serem respondidos localmente. A keybox de atestação que o motor transporta é uma chave divulgada publicamente, e a ThreatFabric confirmou que pelo menos dois dos seus certificados constam da lista de revogação de atestação da Google como comprometidos. As verificações de revogação do lado do servidor continuam a conseguir detetar estas falsificações.

Os iscos do Hirudo são distribuídos através do Amazon CloudFront, com rotas separadas para cada família de iscos e um anfitrião dedicado às aplicações bancárias modificadas. A campanha utiliza o OpenInstall para atribuição de instalações e associa a marca dos iscos a grupos de campanha através de IDs do Meta Pixel. Um painel de processamento de APK utilizado para reconstruir os iscos estava acessível sem autenticação, com buckets de armazenamento na nuvem e credenciais expostos.

As substituições de aplicações bancárias centram-se em oito aplicações indonésias de sete bancos, mas o âmbito configurado do Hirudo é mais vasto. Os alvos de credenciais referidos no código abrangem a Indonésia, a China, a Índia, o México, Marrocos e a Tailândia, e a página de pagamento falsa incluída ostenta marcas de bancos e carteiras eletrónicas da Malásia.

Um backend capturado em agosto de 2026 continha milhares de registos de credenciais e dispositivos, divididos por grupos de campanha. Os registos incluíam histórico do ecrã de bloqueio e perfis financeiros com campos de rendimento mensal e pontuação de risco. Os operadores anotaram algumas entradas como alvo de phishing bem-sucedido, o que aponta para um fluxo de trabalho estruturado para converter os dados roubados em transações fraudulentas.

Em resumo, a presença de malware como o Hirudo num dispositivo pode levar a múltiplas infeções do sistema, graves problemas de privacidade, perdas financeiras significativas e roubo de identidade.

É de referir que os criadores de malware melhoram frequentemente o seu software e as suas metodologias. Assim, potenciais versões futuras do Hirudo poderão ter funcionalidades e características adicionais ou diferentes.

Exemplos de trojans bancários para Android

O Hirudo é um exemplo notável de como os trojans bancários modernos para Android evoluíram para além de simples ataques de sobreposição, passando a incorporar técnicas de substituição de aplicações e controlo remoto total do dispositivo. Outros exemplos de trojans bancários para Android incluem RemControl, Rokarolla e OverlayPhantom.

Os programas maliciosos variam muito em conceção e finalidade. Quer procurem ganhos financeiros, roubar dados pessoais ou conceder aos criminosos acesso remoto persistente a um dispositivo, todas estas ameaças devem ser removidas assim que forem descobertas.

Como é que o Hirudo se infiltrou no meu dispositivo?

O Hirudo chega às vítimas através de aplicações isco que se assemelham a plataformas legítimas de compras, vídeos para adultos ou séries curtas. Estas aplicações são distribuídas através de redes de publicidade e servidas através do Amazon CloudFront. A ThreatFabric observou que algumas rotas de transferência ainda estavam ativas em outubro de 2026.

Depois de a aplicação isco ser instalada, esta apresenta uma falsa solicitação de atualização dentro da aplicação e instala o payload do Hirudo como uma segunda aplicação. Os utilizadores devem desconfiar de qualquer aplicação que solicite a instalação de pacotes adicionais fora da Google Play Store oficial.

De forma mais geral, os cibercriminosos distribuem malware através de vários canais: mensagens de phishing, anúncios maliciosos, falsas solicitações de atualização e lojas de aplicações não oficiais. Manter-se atento a pedidos de instalação inesperados é uma das medidas mais eficazes que os utilizadores podem tomar para evitar infeções.

Como evitar a instalação de malware?

Transfira aplicações apenas da Google Play Store oficial e de sites de programadores verificados. Leia sempre as avaliações dos utilizadores e verifique as permissões que uma aplicação solicita antes de a instalar. Tenha especial cuidado com qualquer aplicação que lhe peça para instalar software adicional após ser iniciada, pois esta é uma tática habitualmente utilizada por malware do tipo dropper.

Mantenha o sistema operativo Android e todas as aplicações instaladas atualizados, uma vez que as atualizações incluem frequentemente correções de segurança que resolvem vulnerabilidades conhecidas. Utilizar software de segurança móvel fiável e efetuar análises regulares também reduz o risco. Evite clicar em ligações em mensagens SMS, e-mails ou publicações nas redes sociais não solicitados, pois podem conduzir a páginas que distribuem APKs maliciosos.

Sobreposição de pagamento falsa do Hirudo, apresentada com a marca Maybank, posicionada de forma transparente sobre o ecrã de encomenda do próprio dropper para capturar PINs de pagamento (fonte: ThreatFabric):

Menu rápido:

• Introdução
• Como eliminar o histórico de navegação do navegador Chrome?
• Como desativar as notificações do navegador Chrome?
• Como repor o navegador Chrome?
• Como eliminar o histórico de navegação do navegador Firefox?
• Como desativar as notificações do navegador Firefox?
• Como repor o navegador Firefox?
• Como desinstalar aplicações potencialmente indesejadas e/ou maliciosas?
• Como iniciar o dispositivo Android no "Modo de segurança"?
• Como verificar a utilização de bateria de várias aplicações?
• Como verificar a utilização de dados de várias aplicações?
• Como instalar as atualizações de software mais recentes?
• Como repor o sistema no seu estado predefinido?
• Como desativar aplicações que têm privilégios de administrador?

Eliminar o histórico de navegação do navegador Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu pendente aberto.

Toque em "Limpar dados de navegação", selecione o separador "AVANÇADAS", escolha o intervalo de tempo e os tipos de dados que pretende eliminar e toque em "Limpar dados".

[Voltar ao menu]

Desativar as notificações do navegador Chrome:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Definições" no menu pendente aberto.

Desloque-se para baixo até ver a opção "Definições de sites" e toque nela. Desloque-se para baixo até ver a opção "Notificações" e toque nela.

Encontre os sites que enviam notificações do navegador, toque neles e clique em "Limpar e repor". Isto removerá as permissões concedidas a estes sites para enviar notificações. No entanto, assim que visitar novamente o mesmo site, este poderá voltar a pedir permissão. Pode escolher se concede ou não estas permissões (se optar por recusar, o site passará para a secção "Bloqueado" e deixará de lhe pedir permissão).

[Voltar ao menu]

Repor o navegador Chrome:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação "Chrome", selecione-a e toque na opção "Armazenamento".

Toque em "GERIR ARMAZENAMENTO", depois em "LIMPAR TODOS OS DADOS" e confirme a ação tocando em "OK". Tenha em atenção que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Eliminar o histórico de navegação do navegador Firefox:

Toque no botão "Menu" (três pontos no canto superior direito do ecrã) e selecione "Histórico" no menu pendente aberto.

Desloque-se para baixo até ver "Limpar dados privados" e toque nesta opção. Selecione os tipos de dados que pretende remover e toque em "LIMPAR DADOS".

[Voltar ao menu]

Desativar as notificações do navegador Firefox:

Visite o site que está a enviar notificações do navegador, toque no ícone apresentado à esquerda da barra de URL (o ícone não será necessariamente um "Cadeado") e selecione "Editar definições do site".

Na janela pop-up aberta, selecione a opção "Notificações" e toque em "LIMPAR".

[Voltar ao menu]

Repor o navegador Firefox:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até encontrar a aplicação "Firefox", selecione-a e toque na opção "Armazenamento".

Toque em "LIMPAR DADOS" e confirme a ação tocando em "ELIMINAR". Tenha em atenção que repor o navegador eliminará todos os dados nele armazenados. Isto significa que todos os inícios de sessão/palavras-passe guardados, o histórico de navegação, as definições não predefinidas e outros dados serão eliminados. Terá também de voltar a iniciar sessão em todos os sites.

[Voltar ao menu]

Desinstalar aplicações potencialmente indesejadas e/ou maliciosas:

Aceda a "Definições", desloque-se para baixo até ver "Aplicações" e toque nesta opção.

Desloque-se para baixo até ver uma aplicação potencialmente indesejada e/ou maliciosa, selecione-a e toque em "Desinstalar". Se, por algum motivo, não conseguir remover a aplicação selecionada (por exemplo, se surgir uma mensagem de erro), deverá tentar utilizar o "Modo de segurança".

[Voltar ao menu]

Iniciar o dispositivo Android no "Modo de segurança":

O "Modo de segurança" do sistema operativo Android impede temporariamente a execução de todas as aplicações de terceiros. Utilizar este modo é uma boa forma de diagnosticar e resolver vários problemas (por exemplo, remover aplicações maliciosas que impedem os utilizadores de o fazer quando o dispositivo está a funcionar "normalmente").

Prima o botão "Ligar/Desligar" e mantenha-o premido até ver o ecrã "Desligar". Toque no ícone "Desligar" e mantenha-o premido. Após alguns segundos, surgirá a opção "Modo de segurança" e poderá ativá-lo reiniciando o dispositivo.

[Voltar ao menu]

Verificar a utilização de bateria de várias aplicações:

Aceda a "Definições", desloque-se para baixo até ver "Manutenção do dispositivo" e toque nesta opção.

Toque em "Bateria" e verifique a utilização de cada aplicação. As aplicações legítimas/genuínas são concebidas para consumir o mínimo de energia possível, de forma a proporcionar a melhor experiência ao utilizador e a poupar energia. Por isso, uma utilização elevada da bateria pode indicar que a aplicação é maliciosa.

[Voltar ao menu]

Verificar a utilização de dados de várias aplicações:

Aceda a "Definições", desloque-se para baixo até ver "Ligações" e toque nesta opção.

Desloque-se para baixo até ver "Utilização de dados" e selecione esta opção. Tal como com a bateria, as aplicações legítimas/genuínas são concebidas para minimizar ao máximo a utilização de dados. Isto significa que uma utilização de dados muito elevada pode indicar a presença de uma aplicação maliciosa. Tenha em atenção que algumas aplicações maliciosas podem estar concebidas para funcionar apenas quando o dispositivo está ligado a uma rede sem fios. Por este motivo, deve verificar a utilização de dados móveis e de Wi-Fi.

Se encontrar uma aplicação que utiliza muitos dados apesar de nunca a utilizar, recomendamos vivamente que a desinstale o mais rapidamente possível.

[Voltar ao menu]

Instalar as atualizações de software mais recentes:

Manter o software atualizado é uma boa prática no que diz respeito à segurança do dispositivo. Os fabricantes de dispositivos lançam continuamente várias correções de segurança e atualizações do Android para corrigir erros e falhas que podem ser explorados por cibercriminosos. Um sistema desatualizado é muito mais vulnerável, razão pela qual deve certificar-se sempre de que o software do seu dispositivo está atualizado.

Aceda a "Definições", desloque-se para baixo até ver "Atualização de software" e toque nesta opção.

Toque em "Transferir atualizações manualmente" e verifique se existem atualizações disponíveis. Em caso afirmativo, instale-as imediatamente. Recomendamos também que ative a opção "Transferir atualizações automaticamente" - esta permitirá que o sistema o notifique quando for lançada uma atualização e/ou a instale automaticamente.

[Voltar ao menu]

Repor o sistema no seu estado predefinido:

Efetuar uma "Reposição de fábrica" é uma boa forma de remover todas as aplicações indesejadas, repor as definições do sistema para as predefinições e limpar o dispositivo em geral. No entanto, deve ter em conta que todos os dados do dispositivo serão eliminados, incluindo fotografias, ficheiros de vídeo/áudio, números de telefone (armazenados no dispositivo, não no cartão SIM), mensagens SMS, etc. Por outras palavras, o dispositivo será reposto no seu estado original.

Também pode repor as definições básicas do sistema e/ou apenas as definições de rede.

Aceda a "Definições", desloque-se para baixo até ver "Acerca do telefone" e toque nesta opção.

Desloque-se para baixo até ver "Repor" e toque nesta opção. Agora escolha a ação que pretende executar:
"Repor definições" - repõe todas as definições do sistema para as predefinições;
"Repor definições de rede" - repõe todas as definições relacionadas com a rede para as predefinições;
"Repor dados de fábrica" - repõe todo o sistema e elimina completamente todos os dados armazenados;

[Voltar ao menu]

Desativar aplicações que têm privilégios de administrador:

Se uma aplicação maliciosa obtiver privilégios de nível de administrador, pode danificar gravemente o sistema. Para manter o dispositivo o mais seguro possível, deve verificar sempre que aplicações têm esses privilégios e desativar as que não os deveriam ter.

Aceda a "Definições", desloque-se para baixo até ver "Ecrã de bloqueio e segurança" e toque nesta opção.

Desloque-se para baixo até ver "Outras definições de segurança", toque nesta opção e, em seguida, toque em "Aplicações de administração do dispositivo".

Identifique as aplicações que não deveriam ter privilégios de administrador, toque nelas e, em seguida, toque em "DESATIVAR".

Perguntas Frequentes (FAQ)

O meu dispositivo Android está infetado com o malware Hirudo. Devo formatar o meu dispositivo de armazenamento para me livrar dele?

A formatação raramente é necessária para remover malware. Utilizar software de segurança móvel fiável, como o Combo Cleaner, deverá ser suficiente para detetar e remover o Hirudo do seu dispositivo sem apagar os seus dados.

Quais são os maiores problemas que o malware Hirudo pode causar?

O Hirudo pode roubar credenciais bancárias, intercetar palavras-passe de utilização única em mensagens SMS e substituir aplicações bancárias genuínas por cópias modificadas que desativam, a partir do interior, as verificações de segurança das próprias aplicações.

Também concede aos operadores controlo remoto do dispositivo em tempo real, incluindo visualização do ecrã e acesso à câmara. As vítimas correm o risco de sofrer perdas financeiras significativas, roubo de identidade e graves violações da sua privacidade.

Qual é o objetivo do malware Hirudo?

A maioria dos ataques de malware tem fins lucrativos, e o Hirudo não é exceção. Os seus operadores mantêm um backend concebido para converter credenciais e dados de dispositivos roubados em transações fraudulentas. Dito isto, as motivações dos cibercriminosos podem também incluir hacktivismo, rancores pessoais ou objetivos geopolíticos.

Como é que o malware Hirudo se infiltrou no meu dispositivo Android?

O Hirudo é, muito provavelmente, instalado através de uma aplicação isco disfarçada de plataforma de compras, vídeos ou séries curtas. Depois de iniciadas, estas aplicações apresentam uma falsa solicitação de atualização dentro da aplicação e instalam o payload do Hirudo como uma segunda aplicação. Os utilizadores podem também encontrá-lo através de lojas de aplicações não oficiais ou de anúncios maliciosos.

O Combo Cleaner irá proteger-me contra malware?

O Combo Cleaner é capaz de detetar e eliminar a grande maioria das infeções de malware conhecidas. Uma vez que ameaças sofisticadas como o Hirudo se instalam profundamente no dispositivo, recomenda-se vivamente a execução de uma análise completa do sistema para garantir a remoção total.