Ciberataques – Malware para Android com inteligência artificial

Pela primeira vez, um malware para Android utiliza ativamente inteligência artificial generativa durante sua operação.

Pesquisadores de segurança da ESET descobriram um malware que ataca os sistemas do Google. Gemini-modelo usado para estabelecer uma posição de vantagem em dispositivos infectados – inaugurando assim uma nova era de ciberataques móveis.

O que é o PromptSpy?

Pesquisadores da empresa europeia de segurança de TI ESET identificaram um novo malware para Android chamado PromptSpy, que se disfarça de aplicativo bancário.App O “MorganArg” se disfarça como uma versão falsa do aplicativo do JPMorgan Chase.

A distribuição ocorre por meio de sites manipulados, e não pelas lojas de aplicativos oficiais. Até o momento, a campanha tem como alvo principal usuários na Argentina, mas a tecnologia utilizada é aplicável globalmente em diversas plataformas.

O que diferencia o PromptSpy de outros malwares conhecidos para Android é o uso direto do modelo de IA Gemini do Google durante sua operação.

A IA analisa em tempo real.

Em vez de depender de comandos rígidos e pré-programados, o malware transmite o conteúdo atual da tela para o Gemini.

A IA analisa a interface e especifica passo a passo quais botões devem ser pressionados para impedir que o aplicativo seja fechado.

“O malware usa IA para saber o que fazer em seguida”, explica Lukas Stefanko, da ESET Research. “Isso permite que ele funcione em praticamente qualquer dispositivo, independentemente do fabricante ou da versão do Android. Isso o torna particularmente adaptável.”

Essa abordagem permite que o malware se adapte dinamicamente a diferentes interfaces de dispositivos e versões do Android, sem que os atacantes precisem escrever um código separado para cada dispositivo.

Acesso ao dispositivo após a instalação

Após a instalação bem-sucedida, o PromptSpy instala um módulo de controle remoto que concede aos invasores controle quase total sobre o smartphone. Especificamente, os criminosos podem:

– Monitore a tela em tempo real,
– Leitura de teclas digitadas e senhas,
– interceptar o código de bloqueio do dispositivo,
– Ler mensagens e abrir aplicativos, bem como
– Iniciar transferências bancárias de forma independente.

Remover o aplicativo torna-se ainda mais difícil porque elementos invisíveis bloqueiam ativamente certos botões.

“Estamos testemunhando um novo nível de malware para Android”, disse Stefanko. “A IA não está sendo usada apenas como uma palavra da moda, mas sim empregada especificamente para burlar mecanismos de proteção.”

O segundo caso deste tipo

O PromptSpy não é o primeiro caso em que a IA generativa foi profundamente integrada a um código malicioso.

Após a descoberta do ransomware PromptLock, que utiliza inteligência artificial, em agosto de 2025, esta descoberta marca o segundo caso conhecido em que cibercriminosos estão usando especificamente IA para superar barreiras técnicas de segurança.

As evidências no código-fonte sugerem que os desenvolvedores estão trabalhando em um ambiente de língua chinesa.

Como os usuários do Android podem se proteger

Mesmo que a ameaça seja tecnologicamente nova, as medidas de segurança clássicas ainda oferecem proteção confiável.

◉ Instale apenas aplicativos de fontes oficiais. Quem usa exclusivamente o Google Play e não baixa arquivos APK de sites de terceiros fecha a principal via de infecção.

◉ Tenha cuidado com as permissões de acessibilidade. Se um aplicativo solicitar acesso a recursos de acessibilidade, desconfie especialmente. Essas permissões permitem amplo acesso ao dispositivo e são frequentemente exploradas por malware.

Realize atualizações regulares do sistema. As versões atuais do Android corrigem vulnerabilidades de segurança conhecidas que são exploradas por malware.

◉ Mantenha o Google Play Protect ativado. Dispositivos com o Play Protect ativado estão protegidos contra variantes conhecidas do PromptSpy.

◉ Em caso de suspeita de infecção: utilize o modo de segurança. Quem suspeitar de uma infecção deve reiniciar o dispositivo no modo de segurança. Nesse estado, os aplicativos de terceiros ficam inativos e geralmente podem ser desinstalados.

A ESET publica mais detalhes técnicos e capturas de tela para análise em seu blog oficial de segurança, em welivesecurity.com.

Sierks Media / © Foto: Daniel Romero, Unsplash