O acesso antecipado da Google Play, criado para permitir que desenvolvedores testem aplicativos antes do lançamento oficial, está sendo explorado por cibercriminosos para distribuir apps enganosos, jogos falsos e programas potencialmente maliciosos. A estratégia aproveita uma característica importante desse modelo: os participantes não podem publicar avaliações e notas por estrelas enquanto o aplicativo permanece nessa modalidade.
Na prática, isso elimina temporariamente um dos principais mecanismos usados pela comunidade para identificar aplicativos problemáticos. Um programa pode acumular uma grande quantidade de instalações sem que novos usuários encontrem uma sequência de avaliações negativas alertando sobre golpes, publicidade abusiva ou comportamento suspeito.
O problema ganha uma dimensão ainda maior quando os criminosos combinam a distribuição na loja oficial com anúncios fraudulentos em redes sociais, vídeos gerados por inteligência artificial e deepfakes. Ao mesmo tempo, novas ameaças para Android, como Hagaseca, Mantax Otax, StreamRat e Gigabud, demonstram como o ecossistema móvel continua sendo explorado para espionagem, fraude financeira, controle remoto e extorsão.
Como o acesso antecipado da Google Play virou um alvo para criminosos
O acesso antecipado possui uma finalidade legítima. O Google permite que desenvolvedores disponibilizem aplicativos ainda em desenvolvimento para que usuários possam experimentá-los e fornecer feedback antes de um lançamento mais amplo.
Esse modelo é útil para encontrar bugs, testar compatibilidade e descobrir problemas de usabilidade em situações reais. O usuário, por sua vez, sabe que está experimentando um produto que ainda pode apresentar falhas.
O problema surge quando essa estrutura é utilizada para criar uma aparência de legitimidade para aplicativos fraudulentos.
Em aplicativos publicados normalmente, as avaliações, comentários e notas por estrelas funcionam como uma espécie de sistema coletivo de reputação. Se centenas de pessoas descobrem que determinado aplicativo não entrega o que promete, essa informação pode rapidamente aparecer para novos usuários.
No acesso antecipado, essa camada de proteção comunitária fica comprometida.
O Google informa que os participantes desses programas podem enviar feedback aos desenvolvedores, mas não podem publicar avaliações e classificações públicas enquanto o aplicativo estiver nessa condição. Isso cria uma situação particularmente conveniente para criminosos: o aplicativo pode aparecer dentro da loja oficial, mas os usuários não conseguem deixar imediatamente uma avaliação pública denunciando a fraude.
De jogos falsos a aplicativos que prometem dinheiro
Pesquisadores de segurança identificaram campanhas que abusam desse modelo para promover diferentes tipos de aplicativos.
Entre os exemplos está Vice Streets: Open World, um clone que tenta se passar por um jogo semelhante à franquia Grand Theft Auto. O aplicativo chegou a ultrapassar 1 milhão de downloads, apesar de não apresentar o histórico de avaliações públicas normalmente disponível em aplicativos tradicionais.
A estratégia também envolve jogos de cassino, caça-níqueis, aplicativos de recompensas e programas que prometem dinheiro fácil.
Em alguns casos, o aplicativo apresenta recompensas virtuais para convencer a vítima de que o sistema realmente funciona. Depois de acumular determinado valor, entretanto, aparecem novas exigências para liberar o suposto pagamento.
A vítima pode ser obrigada a assistir a uma quantidade enorme de anúncios, convidar outras pessoas ou atingir metas praticamente impossíveis. O objetivo passa a ser gerar receita publicitária enquanto mantém o usuário preso ao aplicativo.
Isso também explica por que um aplicativo fraudulento nem sempre precisa roubar informações diretamente para ser lucrativo. Milhões de instalações podem representar uma fonte considerável de receita quando cada usuário é exposto repetidamente a publicidade.
Deepfakes ajudam a levar vítimas até aplicativos suspeitos
A distribuição desses aplicativos não depende apenas da busca dentro da Google Play.
Os criminosos utilizam TikTok, Facebook e outras plataformas sociais para criar campanhas que despertam curiosidade e urgência. Vídeos prometem dinheiro, prêmios, acesso gratuito a serviços ou versões especiais de jogos.
Um recurso que torna essas campanhas ainda mais convincentes é a utilização de inteligência artificial para produzir vídeos falsos.
Deepfakes podem simular celebridades, influenciadores e outras figuras conhecidas recomendando um aplicativo ou afirmando que determinada promoção é verdadeira. Para um usuário que encontra o vídeo rapidamente durante a navegação, a combinação entre uma pessoa conhecida e um aplicativo disponível na Google Play pode parecer suficiente para eliminar qualquer suspeita.
A cadeia de ataque é relativamente simples: o anúncio cria confiança, o usuário acessa a página indicada, encontra um aplicativo aparentemente legítimo e realiza a instalação.
O fato de o software estar hospedado na loja oficial passa a funcionar como um elemento adicional de persuasão.
Por isso, a pergunta correta não deve ser apenas “este aplicativo está na Google Play?”. É necessário avaliar quem publicou o software, quais permissões são solicitadas, qual é sua finalidade e de onde veio a recomendação.
Novos malwares mostram a evolução dos ataques contra Android
O abuso do acesso antecipado acontece paralelamente ao surgimento de famílias de malware cada vez mais sofisticadas.
Essas ameaças utilizam técnicas diferentes, mas possuem um ponto em comum: tentam aproveitar recursos legítimos do Android para obter capacidades que normalmente não deveriam estar disponíveis para aplicativos comuns.
Hagaseca explora dispositivos com ADB exposto
O Hagaseca, associado ao trojan de acesso remoto THost9, chama atenção pelo abuso do Android Debug Bridge (ADB).
O ADB é uma ferramenta destinada principalmente a desenvolvedores e administradores para executar comandos, instalar aplicativos e realizar tarefas de depuração. Quando serviços relacionados ao ADB ficam expostos de maneira insegura na rede, entretanto, podem representar uma superfície de ataque.
O malware consegue procurar dispositivos acessíveis e tentar instalar seus componentes, assumindo características semelhantes às de um worm.
Depois da infecção, recursos como execução remota de comandos, transferência de arquivos e tunelamento podem permitir que o invasor controle determinadas funções do aparelho.
A recomendação para usuários avançados é direta: não deixe ADB exposto à internet ou a redes não confiáveis.
Mantax Otax combina espionagem e extorsão
O Mantax Otax representa uma combinação particularmente agressiva de funções.
A ameaça reúne características de spyware e ransomware, utilizando aplicativos maliciosos e engenharia social para chegar aos dispositivos.
Um dos recursos explorados é o serviço de acessibilidade do Android, que pode permitir que um aplicativo realize ações na interface e interaja com elementos que normalmente exigiriam participação direta do usuário.
Dependendo da versão do Android e do dispositivo afetado, o malware pode coletar informações, capturar telas e realizar outras atividades de espionagem. Em aparelhos mais antigos, também foram observados comportamentos relacionados à criptografia de arquivos e extorsão.
Isso torna versões antigas do Android particularmente preocupantes, já que dispositivos sem atualizações recentes podem permanecer vulneráveis a técnicas que foram mitigadas em versões mais modernas.
StreamRat usa anúncios para distribuir malware
O StreamRat demonstra como uma campanha de publicidade aparentemente comum pode terminar em uma infecção.
A ameaça foi distribuída por meio de anúncios que promoviam um suposto serviço gratuito de televisão. As campanhas alcançaram centenas de milhares de usuários em plataformas como Facebook e TikTok.
Depois de clicar no anúncio, a vítima era encaminhada para uma página que identificava o dispositivo Android e apresentava instruções para instalar um APK.
Uma vez instalado, o malware abusava de recursos como Acessibilidade e MediaProjection para obter capacidades de interação e captura de informações.
O caso mostra por que instalar APKs seguindo instruções de anúncios, especialmente quando a instalação exige desativar proteções do Android, representa um risco significativo.
Gigabud usa perfis de trabalho para clonar aplicativos
Outra ameaça relevante está ligada ao grupo GoldFactory e ao malware Gigabud.
Pesquisadores identificaram o uso de um aplicativo chamado Vwork, baseado em uma ferramenta de código aberto destinada à criação de perfis de trabalho no Android.
A técnica permite criar um ambiente separado no aparelho e clonar aplicativos dentro desse perfil. Em ataques direcionados a usuários de serviços financeiros, isso pode ajudar os criminosos a operar versões manipuladas de aplicativos bancários.
A combinação de controle remoto, captura de informações e clonagem de aplicativos aumenta o potencial para fraudes financeiras, especialmente quando o usuário acredita que o comportamento observado na tela corresponde ao funcionamento normal do aparelho.
O Brasil também aparece entre os países associados às campanhas analisadas pelos pesquisadores, reforçando a necessidade de atenção dos usuários brasileiros.
Como evitar aplicativos fraudulentos na Google Play
O fato de um aplicativo estar disponível na Google Play é um elemento positivo, mas não deve ser tratado como uma garantia absoluta.
Antes de instalar aplicativos em acesso antecipado, especialmente aqueles promovidos por anúncios, vale observar alguns sinais.
- Desconfie de promessas de dinheiro fácil, recompensas garantidas e pagamentos extraordinários.
- Verifique o nome do desenvolvedor e procure informações sobre seu histórico.
- Analise cuidadosamente as permissões solicitadas.
- Tenha atenção especial a aplicativos que pedem acesso à Acessibilidade sem uma justificativa clara.
- Evite instalar APKs indicados por anúncios, mensagens ou vídeos de redes sociais.
- Não desative mecanismos de proteção do Android apenas para conseguir instalar um aplicativo.
- Mantenha o Android e os componentes de segurança atualizados.
- Deixe o Google Play Protect habilitado.
- Em aparelhos usados para trabalho, monitore a criação inesperada de perfis de trabalho.
- Se utilizar ADB, mantenha a depuração restrita ao ambiente necessário e nunca exponha o serviço diretamente à internet.
O usuário também precisa compreender uma limitação importante do modelo. A ausência de avaliações não significa que um aplicativo seja novo e promissor, nem que seja seguro. Em um programa de acesso antecipado, ela pode simplesmente ser uma consequência do funcionamento da própria plataforma.
O Google pode remover aplicativos maliciosos e aprimorar seus mecanismos de análise, mas existe uma disputa constante entre os sistemas automatizados de segurança e criminosos que modificam rapidamente seus aplicativos, anúncios e infraestrutura.
Para quem utiliza Android, a melhor defesa continua sendo a combinação de atualizações, atenção às permissões, instalação consciente e desconfiança diante de ofertas boas demais para serem verdadeiras.
O crescimento de golpes envolvendo o acesso antecipado da Google Play deixa uma lição importante: a loja oficial reduz riscos, mas não substitui o julgamento do usuário. Quando publicidade enganosa, inteligência artificial e malware são combinados em uma mesma campanha, até um aplicativo disponível em uma plataforma legítima pode fazer parte de uma operação criminosa.
Se este alerta foi útil, compartilhe a informação com outros usuários Android e deixe nos comentários do SempreUpdate sua experiência com aplicativos suspeitos encontrados na Google Play.
