Trojan BeatBanker para Android Usa Loop de Áudio Silencioso para Roubo de Criptomoedas

O BeatBanker não é só mais um trojan bancário: ele representa uma mudança tática crítica no cibercrime móvel, a substituição de funções de roubo financeiro por um RAT completo (BTMOB), com controle remoto granular, exfiltração massiva de dados e persistência engenhosa. O loop de áudio inaudível de 5 segundos não é um truque isolado; é parte de um sistema de sobrevivência que explora falhas de design do Android em otimização de bateria, impedindo o encerramento automático de processos em segundo plano mesmo em dispositivos com MIUI, One UI e ColorOS. A comunicação via Firebase Cloud Messaging (FCM) dá ao malware cobertura legítima: 92% dos apps Android usam FCM, então o tráfego malicioso se mistura ao normal sem disparar alertas em firewalls corporativos ou EDRs móveis.

Os iscos são regionalmente afinados: além do 'INSS Reembolso' e 'Starlink', há versões falsas de apps do Sicredi, Correios e Expedia, todos com ícones, descrições e screenshots clonados com precisão suficiente para passar na primeira inspeção visual. Isso não é acaso: o BTMOB é vendido como Malware-as-a-Service (MaaS), com interface gráfica para gerar APKs personalizados por país, idioma e alvo institucional. Uma licença vitalícia custa US$ 5.000, mas arquivos foram distribuídos gratuitamente em fóruns da dark web em janeiro de 2026, o que explica a proliferação acelerada desde fevereiro.

Para empresas brasileiras, o risco vai além do roubo de criptomoedas: o BTMOB permite captura de credenciais de tela de bloqueio, keylogging em apps corporativos (como bancos digitais de empresas, sistemas de RH e plataformas de assinatura), e acesso à câmera para gravação de telas sensíveis durante reuniões remotas. Como o malware opera com permissões de Acessibilidade, frequentemente concedidas por usuários distraídos sob pretexto de 'atualização do sistema', ele contorna proteções nativas do Android 12+ contra sobreposição de tela (overlay). Em cenários BYOD, um único dispositivo infectado pode comprometer tokens SSO, sessões MFA e até credenciais armazenadas em gerenciadores de senhas compatíveis com acessibilidade.