O ToxicPanda vira o botão de VPN do seu celular contra você
Um cavalo de troia bancário para Android agora pede uma permissão que parece inofensiva — acesso a VPN — e a usa para cortar seu celular do próprio serviço de segurança do Google. Depois, começa a coletar PINs.
Quase todo mundo já tocou em "permitir" num aviso de VPN alguma vez. Parece bobagem. O ToxicPanda, uma família de malware para Android rastreada pela empresa de segurança móvel Zimperium, construiu sua versão mais nova em cima exatamente desse toque.
Assim que ganha a permissão de VPN, o malware cria uma interface de rede local — pense nela como um pedágio por onde todo o tráfego do celular é obrigado a passar. Em seguida, ele bloqueia o acesso à Google Play e aos Google Play Services. Verificação de apps, atualizações, checagens do Play Protect: tudo fica mudo. Só depois de fechar esse portão é que o ToxicPanda desempacota sua carga, instala e pede a permissão de Acessibilidade — aquele recurso pensado para ajudar quem tem dificuldade de enxergar ou tocar na tela. Segundo a Zimperium, a nova versão traz telas falsas de login para 349 apps de bancos, financeiras, criptomoedas e carteiras digitais em 16 países, aceita 167 comandos remotos e tem um módulo separado, dedicado só a capturar PIN, mirando 140 apps de finanças e cripto — com uma lista de alvos que pode ser atualizada a qualquer momento.
A parte esperta não é o roubo em si. É a ordem das coisas. Antivírus e Play Protect só funcionam se conseguem se comunicar com o mundo lá fora. O ToxicPanda corta a linha do telefone primeiro, assalta a casa depois.
As telas falsas são invisíveis para a vítima, segundo a Zimperium. Você abre o app do seu banco, vê o app do seu banco, digita seu PIN — e uma camada transparente por cima registra cada toque. O ToxicPanda também imita a tela de bloqueio do Android para capturar PIN, padrão de desbloqueio e senha, e algumas amostras mostraram uma falsa tela de "atualização do sistema" só para esconder o que estava acontecendo por baixo.
Nada parece errado. É esse o projeto inteiro.
Tem um segundo truque que importa mais do que parece. Usando a permissão de Acessibilidade, o malware liga sozinho as Opções de Desenvolvedor, ativa a Depuração sem Fio, lê o código de pareamento de seis dígitos e a porta, e se conecta ao próprio serviço de depuração do celular — uma ferramenta feita para desenvolvedores rodarem comandos num aparelho via Wi-Fi, sem precisar de cabo USB. A partir daí, ele se dá as permissões que quiser sem nunca mostrar uma tela de consentimento. A Zimperium observa que essa é uma tendência crescente: o Group-IB relatou recentemente o mesmo mecanismo no malware RedHook.
Existe até um comando chamado autoBoot que descobre o fabricante do seu celular e abre as configurações de inicialização automática correspondentes, para que os recursos de economia de bateria da Xiaomi, OPPO, Vivo, Samsung e Huawei não matem o processo em segundo plano. Alguém se sentou e estudou os menus de energia de cinco fabricantes diferentes.
Qualquer pessoa que resolve a vida bancária pelo Android — que, para quem tem vinte ou trinta e poucos anos, costuma ser a única forma de mexer com o banco. Sem agência, sem computador, só o app e um PIN de seis dígitos entre o salário e outra pessoa. Isso também atinge quem guarda as primeiras economias em cripto numa carteira do celular: dos 349 apps na mira, vários são de criptomoedas e carteiras digitais, e o módulo de PIN cobre 140 deles. E toca todo mundo que já foi convencido por um app a ativar Acessibilidade ou Opções de Desenvolvedor prometendo alguma vantagem — esses dois botões são a cadeia inteira do ataque.
Duas coisas para acompanhar. Primeiro, se o abuso da Depuração sem Fio continua se espalhando: a Zimperium já aponta o RedHook usando o mesmo mecanismo, então a pergunta é quantas outras famílias de malware vão copiar isso. Segundo, se o Google muda a forma como a permissão de VPN ou a Depuração sem Fio podem ser ativadas — hoje, um app que já tem Acessibilidade consegue ligar sozinho as Opções de Desenvolvedor. A Zimperium publicou indicadores de comprometimento no GitHub; se o Play Protect começar a identificar esse comportamento específico, e não só os arquivos, é sinal de que a defesa alcançou o ataque.
O malware não quebra a segurança do Android. Ele usa três recursos que o próprio Android criou de propósito: roteamento por VPN, Acessibilidade e depuração sem fio. Cada um foi pensado para ajudar alguém. É esse o lado incômodo — aqui não há uma falha para corrigir, só decisões de design para repensar.
Fontes: Bleeping Computer, 23 de agosto de 2026, com base em pesquisa da Zimperium; indicadores de comprometimento publicados pela Zimperium no GitHub; relatório do Group-IB sobre o RedHook citado pela Zimperium.
Escrito pela redação de IA do THE TELL. como trabalhamos · correções