Novo malware no Android rouba PIN, 2FA e logins com IA; veja como se proteger

Um novo trojan para Android chamado RatHat combina técnicas de fraude bancária já conhecidas com uma camada incomum de automação por inteligência artificial. Segundo uma análise publicada pela Zimperium, a ameaça consegue navegar pela interface do aparelho, capturar logins, códigos de autenticação, PINs e padrões de desbloqueio e manter acesso ao celular mesmo depois que o aplicativo malicioso é removido.

O detalhe mais importante para quem usa Android é que não basta ter um celular Android para ser infectado. A cadeia observada pelos pesquisadores começa com engenharia social: a vítima é levada a instalar um APK fora de uma loja oficial e, em seguida, a conceder uma permissão poderosa de Acessibilidade. A partir daí, o RatHat consegue automatizar várias das etapas seguintes.

Em resumo: o RatHat não é um ataque “zero-click” que invade qualquer Android sozinho. O risco cresce quando o usuário instala um aplicativo de origem duvidosa e libera permissões que não fazem sentido para a função prometida pelo app.

O que é o RatHat e por que ele chamou atenção

O RatHat foi detalhado pelo zLabs, braço de pesquisa da Zimperium, em 16 de setembro de 2026. A empresa descreve o malware como uma ameaça para Android voltada ao roubo de credenciais e dados financeiros, com distribuição por páginas de phishing, anúncios maliciosos, mensagens de SMS e fóruns de terceiros.

Em builds analisadas pelos pesquisadores, o APK malicioso podia se disfarçar como um aplicativo de streaming ou até adotar um rótulo semelhante ao Chrome. Depois que a vítima concede acesso ao Serviço de Acessibilidade, o malware passa a controlar elementos da tela e tenta avançar sozinho pelas configurações do sistema.

Esse ponto diferencia o RatHat de trojans que dependem apenas de uma sequência fixa de cliques. O malware envia a estrutura atual da interface para um assistente de IA generativa e usa a resposta para decidir onde tocar, o que procurar na tela ou quando rolar uma página. Na prática, a IA funciona como uma camada de navegação adaptativa.

Como o malware consegue acesso mais profundo ao Android

Depois de obter a permissão de Acessibilidade, o RatHat pode automatizar a ativação das Opções do desenvolvedor e da Depuração sem fio. A ameaça também consegue ler o código de pareamento exibido pelo próprio Android e estabelecer uma conexão local com o ADB, ferramenta legítima usada por desenvolvedores para depurar aparelhos.

O ADB foi projetado para uso controlado e não deve permanecer ativado sem necessidade. No caso do RatHat, ele é transformado em uma ponte para executar componentes com privilégios mais amplos do que um aplicativo Android comum teria.

É por isso que um pedido inesperado para ativar Acessibilidade, Opções do desenvolvedor ou Depuração sem fio deve ser tratado como um forte sinal de alerta. Aplicativos comuns de compras, streaming, bancos ou promoções não precisam dessas permissões para funcionar.

RatHat pode roubar PIN, senha e código de autenticação

O RatHat reúne diferentes formas de coleta de dados. Uma delas é a criação de telas falsas sobre aplicativos legítimos. Quando a vítima abre um app financeiro, o malware pode exibir uma interface visualmente parecida por cima da tela verdadeira e capturar o que for digitado.

Outra técnica intercepta mensagens SMS e notificações, o que pode expor códigos de uso único e autenticação em dois fatores. A ameaça também registra mudanças em campos de texto e consegue coletar dados exibidos em navegadores.

A parte mais incomum, porém, está no registro das coordenadas dos toques. Com o acesso obtido pelo ADB, o RatHat pode saber em que posição da tela o dedo tocou e comparar esses pontos com layouts conhecidos de teclados numéricos e grades de padrão de desbloqueio. Isso permite reconstruir PINs e padrões mesmo quando o Android tenta esconder o conteúdo digitado de aplicativos comuns.

Desinstalar o aplicativo pode não ser suficiente

É aqui que o RatHat fica especialmente preocupante. A análise da Zimperium mostra que, depois de conseguir acesso pelo ADB, o malware instala um serviço separado do aplicativo principal. Esse componente continua ativo fora do ciclo normal do APK.

Se a vítima conseguir remover o app malicioso, o serviço pode verificar que ele desapareceu e reinstalá-lo, restaurando permissões. O próprio RatHat também tenta atrapalhar a remoção ao interceptar a tela de desinstalação e exibir uma falsa mensagem de erro parecida com a da Google Play.

A Malwarebytes, que repercutiu a análise nesta sexta-feira, recomenda uma restauração de fábrica quando há confirmação de infecção pelo RatHat justamente por causa desse mecanismo de persistência.

RatHat já está atacando bancos no Brasil?

Até a atualização desta matéria, não há confirmação pública de uma campanha específica contra bancos brasileiros. A Zimperium descreve o alvo financeiro do RatHat como global e mostra exemplos envolvendo aplicativos bancários, carteiras e serviços de pagamento, mas não publicou uma lista que permita afirmar que Nubank, Itaú, Bradesco, Banco do Brasil, Caixa, Inter ou outros bancos do país estejam sendo diretamente imitados pela campanha.

Também não há base para afirmar que o Pix seja um alvo específico do RatHat. O risco para usuários brasileiros é mais amplo: um malware capaz de roubar credenciais, códigos de autenticação e controlar um aparelho comprometido pode facilitar diferentes tipos de fraude financeira, independentemente do banco usado.

Como se proteger do RatHat no Android

A melhor defesa acontece antes que o malware consiga a primeira permissão importante. O Google mantém o Play Protect ativado por padrão e informa que o serviço verifica apps instalados, inclusive aplicativos vindos de outras fontes, podendo bloquear, desativar ou remover softwares considerados nocivos.

• Não instale APKs enviados por SMS, WhatsApp, Telegram, anúncios ou páginas desconhecidas. Prefira a Google Play e lojas oficiais do fabricante.
• Desconfie de pedidos para ativar Acessibilidade. Se a função prometida pelo app não depende claramente desse recurso, negue a permissão.
• Deixe a Depuração sem fio desligada. Se você não é desenvolvedor e nunca usa ADB, não há motivo para mantê-la ativa.
• Mantenha o Google Play Protect ligado e execute uma verificação se tiver instalado recentemente algum aplicativo fora da loja.
• Atualize o Android e os patches de segurança. As correções reduzem a superfície disponível para abuso.
• Em aparelhos compatíveis, considere a Proteção Avançada do Android. O modo reforça proteções contra aplicativos desconhecidos e impede que certas camadas de segurança sejam desligadas com facilidade.

Quem quer revisar outras áreas de segurança do aparelho também pode conferir como descobrir se o celular está sendo rastreado e entender por que permissões excessivas merecem atenção. O Android também vem ampliando proteções contra golpes, como o alerta contra chamadas que tentam se passar por contatos conhecidos.

O que fazer se você acha que instalou o RatHat

Se você instalou um APK suspeito, concedeu Acessibilidade e percebeu que a Depuração sem fio foi ativada sem sua intenção, trate o aparelho como potencialmente comprometido.

1. Desconecte o celular da internet, desligando Wi-Fi e dados móveis.
2. Em outro aparelho confiável, altere as senhas das contas mais importantes, começando pelo e-mail e pelo banco.
3. Entre em contato com o banco se houver movimentação estranha, tentativa de login ou transação desconhecida.
4. Revise os serviços em Configurações > Acessibilidade e procure permissões concedidas a apps que você não reconhece.
5. Confira se Opções do desenvolvedor e Depuração sem fio estão ligadas sem necessidade.
6. Execute o Play Protect e verifique aplicativos instalados recentemente.
7. Se houver suspeita forte ou confirmação de RatHat, faça backup apenas dos arquivos pessoais essenciais e considere a restauração de fábrica.

Depois da restauração, evite reinstalar manualmente o mesmo APK ou restaurar aplicativos de origem desconhecida. Troque novamente as credenciais mais sensíveis se elas tiverem sido usadas enquanto o aparelho estava comprometido.

O caso reforça um padrão que já aparece em outras ameaças móveis: o golpe não depende apenas de uma falha técnica, mas de convencer o usuário a abrir a primeira porta. O Overdrive já mostrou, por exemplo, como uma falha do WhatsApp podia expor fotos com o celular bloqueado e como o Android passou a transferir senhas e passkeys sem arquivos CSV. Em celulares Galaxy, a One UI 9 também ampliou avisos de segurança e privacidade.

Perguntas frequentes sobre o RatHat

O RatHat infecta o Android apenas ao abrir um link?

Não foi isso que a cadeia analisada mostrou. Os casos descritos dependem de levar a vítima a instalar um APK malicioso e conceder permissões importantes, especialmente Acessibilidade.

O RatHat consegue roubar o PIN do celular?

Sim. A análise da Zimperium mostra um mecanismo que registra as coordenadas dos toques na tela e compara esses pontos com layouts conhecidos de teclados e padrões de desbloqueio.

Desinstalar o aplicativo remove o RatHat?

Nem sempre. Depois que o malware estabelece um componente persistente por meio do ADB, esse serviço pode sobreviver à remoção do APK e reinstalar o aplicativo.

O RatHat afeta iPhone?

A ameaça analisada pela Zimperium foi desenvolvida para Android. As fontes consultadas não descrevem uma versão do RatHat para iOS.

O RatHat está roubando Pix no Brasil?

Não há confirmação pública de uma campanha específica contra Pix ou bancos brasileiros até 18 de setembro de 2026. O malware, porém, tem recursos genéricos de roubo de credenciais e códigos de autenticação que justificam cautela.

Como remover o RatHat?

Se houver confirmação de infecção, apenas desinstalar o app pode não bastar. A recomendação de segurança repercutida pela Malwarebytes é realizar uma restauração de fábrica por causa do mecanismo de persistência, além de trocar senhas usando outro dispositivo confiável e avisar o banco se houver qualquer atividade suspeita.

Fontes

• Zimperium zLabs: análise técnica original do RatHat, publicada em 16 de setembro de 2026
• Malwarebytes: análise voltada ao usuário e recomendações de proteção, 18 de setembro de 2026
• The Hacker News: repercussão técnica sobre ADB e persistência, 18 de setembro de 2026
• Google: documentação oficial do Play Protect
• Android Open Source Project: recomendação oficial sobre ADB

Atualizado em 18 de setembro de 2026, às 20:23 (horário de Brasília).