Malware Android se espalha por respostas automáticas no WhatsApp

Aplicativo falso chamado FlixOnline abusava de permissões de notificação, sobreposição de tela e execução em segundo plano para responder mensagens recebidas com conteúdo controlado por servidor remoto.

Componente	Aplicativo Android falso FlixOnline, distribuído pelo Google Play, com abuso de notificações do WhatsApp e permissões sensíveis do sistema.
Vetor	Instalação voluntária do aplicativo falso e concessão das permissões de sobreposição, ignorar otimização de bateria e acesso a notificações.
Impacto	Envio automático de respostas em conversas do WhatsApp com conteúdo recebido de servidor de comando e controle, com risco de propagação de phishing, mensagens falsas e coleta condicionada de credenciais ou dados.
Prioridade	Remover o aplicativo de dispositivos afetados, revogar permissões concedidas, revisar contas acessadas no aparelho e trocar senhas usadas em serviços sensíveis.
Artefatos	Nome do aplicativo: FlixOnline; hash informado: 1d097436927f85b1ab9bf69913071abd0845bfcf1afa186112e91e1ca22e32df.
Escala observada	O aplicativo permaneceu disponível por cerca de dois meses e teve aproximadamente 500 downloads antes da remoção da loja.

Resumo técnico

Uma campanha envolvendo Android usou um aplicativo falso chamado FlixOnline para criar um mecanismo de propagação baseado em mensagens do WhatsApp. O aplicativo se apresentava como um serviço para acesso a conteúdo da Netflix em dispositivos móveis, mas sua função real era monitorar notificações, interceptar mensagens recebidas e responder automaticamente com texto definido por um servidor remoto. A técnica é relevante porque desloca parte da propagação para conversas confiáveis: a vítima não recebe apenas um anúncio aleatório, mas uma mensagem que aparenta vir de um contato ou grupo conhecido.

A cadeia dependia de uma combinação de engenharia social e permissões sensíveis do Android. A instalação por si só não bastava para acionar todo o comportamento observado; o usuário precisava conceder acesso a notificações, permitir sobreposição de tela e autorizar o aplicativo a ignorar rotinas de otimização de bateria. Com esses privilégios, o malware ganhava visibilidade sobre mensagens recebidas, capacidade de interagir com ações de resposta rápida e maior resistência a encerramento automático pelo sistema. O resultado era um fluxo de disseminação com características de worm móvel, limitado pelas permissões concedidas e pelo recebimento de mensagens no WhatsApp.

Fluxo técnico

Após a instalação, o aplicativo iniciava um serviço e solicitava três permissões principais. A permissão de sobreposição permitia criar janelas acima de outros aplicativos, recurso frequentemente abusado por malware móvel para exibir telas falsas de autenticação ou induzir ações do usuário. A permissão para ignorar otimizações de bateria reduzia a chance de o processo ser suspenso depois de períodos de inatividade. A permissão de acesso a notificações era a mais importante para a propagação, pois dava ao aplicativo visibilidade sobre notificações recebidas e acesso a ações associadas, como dispensar ou responder mensagens.

Depois que as permissões eram concedidas, o malware recebia uma página ou configuração a partir de um servidor de comando e controle e ocultava seu ícone, dificultando a remoção por usuários comuns. Um serviço recorrente fazia contato periódico com a infraestrutura remota para atualizar parâmetros de operação. O acionamento podia ocorrer após a instalação do aplicativo e também por meio de registro associado ao evento BOOT_COMPLETED, chamado quando o dispositivo termina a inicialização. Esse desenho permitia retomada após reinicialização e mantinha o componente ativo sem depender de interação frequente da vítima.

O mecanismo de disseminação explorava o retorno de chamada OnNotificationPosted. Quando uma nova notificação era publicada, o malware verificava o nome do pacote do aplicativo de origem e processava apenas notificações relacionadas ao WhatsApp. Em seguida, cancelava a notificação para reduzir a visibilidade para o usuário, lia título e conteúdo recebidos e procurava o componente responsável por respostas inline. Quando esse componente estava disponível, enviava uma resposta automática usando o texto recebido do servidor remoto. O conteúdo observado usava uma isca de assinatura gratuita de Netflix durante a pandemia e incluía um link encurtado defangado como hxxps://bit[.]ly/3bDmzUw.

O impacto técnico confirmado é o envio automatizado de mensagens em nome da vítima dentro do WhatsApp, a partir de conteúdo controlado externamente. O mesmo canal poderia ser usado para campanhas de phishing, distribuição de desinformação ou indução à coleta de credenciais, desde que o servidor remoto fornecesse mensagens e páginas compatíveis com esses objetivos. O material analisado também descreve o risco de manipulação ou roubo de dados de aplicações confiáveis, mas a evidência técnica principal sustenta o abuso de notificações e respostas automáticas; portanto, a avaliação defensiva deve se concentrar em permissões concedidas, mensagens enviadas sem ação do usuário e presença do aplicativo falso.

Superfície afetada

A superfície exposta é composta por dispositivos Android nos quais o FlixOnline foi instalado e recebeu as permissões solicitadas. A distribuição ocorreu pelo Google Play, o que aumenta a probabilidade de instalação por usuários que confiam na loja oficial, mas o comportamento malicioso só se tornava operacional após consentimento para permissões que ampliam a interação com outros aplicativos. Ambientes corporativos com uso de WhatsApp em grupos de trabalho também ficavam em risco operacional, pois uma única instalação podia gerar mensagens fraudulentas para contatos pessoais e profissionais da vítima.

O WhatsApp aparece como o aplicativo diretamente monitorado porque o malware filtrava notificações pelo pacote de origem antes de processar a resposta. Essa dependência cria limites importantes: a propagação exigia mensagens recebidas, disponibilidade de ação de resposta inline na notificação e permissão de listener ativa. Mesmo assim, a combinação é suficiente para criar tráfego socialmente confiável, já que a mensagem sai da conta da própria vítima. Para equipes de segurança móvel, o ponto crítico não é apenas a presença do aplicativo, mas a soma entre aplicativo desconhecido, permissão de notificação ativa e comportamento de envio automático.

• Dispositivos Android com o aplicativo falso FlixOnline instalado.
• Usuários que concederam acesso a notificações, permissão de sobreposição e exceção de otimização de bateria.
• Conversas individuais e grupos do WhatsApp que receberam respostas automáticas a partir da conta da vítima.
• Ambientes onde mensageiros pessoais são usados em fluxos de trabalho, suporte, vendas, atendimento ou comunicação interna.
• Contas expostas a páginas de phishing ou coleta de credenciais abertas a partir de links recebidos em mensagens automatizadas.

Hunting e telemetria

A investigação deve começar pela inventariação de aplicativos instalados e permissões concedidas em dispositivos Android gerenciados ou analisados em resposta a incidente. A presença de FlixOnline deve ser tratada como indicador direto. Quando a organização dispõe de MTD, MDM ou EDR móvel, a busca deve correlacionar nome de pacote, hash de amostra, histórico de instalação, momento de concessão de permissões e alterações em configurações de bateria. A remoção da loja reduz novas instalações a partir do canal oficial, mas não corrige dispositivos que já tenham concedido privilégios ao aplicativo.

No endpoint móvel, sinais fortes incluem ocultação de ícone após a primeira execução, serviço persistente que retorna após reinicialização e permissões incomuns para um aplicativo que supostamente ofereceria conteúdo de streaming. Na camada de identidade e resposta a incidente, a equipe deve revisar relatos de mensagens enviadas sem intenção do usuário, links encurtados recebidos de contatos conhecidos e picos de reclamações vindas de grupos. A análise de rede pode procurar comunicação periódica com infraestrutura remota, mas o contexto não fornece domínios de comando e controle além do link encurtado usado na isca, então a caça deve evitar bloqueios baseados em suposições não confirmadas.

• Busca por FlixOnline em inventário de aplicativos, histórico de instalação e eventos de MDM ou MTD.
• Verificação de permissão de acesso a notificações concedida a aplicativo que não deveria interagir com mensagens.
• Exceções de otimização de bateria atribuídas ao aplicativo falso ou a serviço sem justificativa operacional.
• Relatos de respostas no WhatsApp enviadas quando o usuário não estava ativo no dispositivo.
• Mensagens com promessa de assinatura gratuita de Netflix e uso de encurtador bit[.]ly com caminho associado à campanha.
• Hash 1d097436927f85b1ab9bf69913071abd0845bfcf1afa186112e91e1ca22e32df em repositórios internos de amostras, telemetria móvel ou alertas de segurança.

Mitigação

A resposta imediata em dispositivos afetados deve remover o FlixOnline, revogar permissões sensíveis e validar se não há outros aplicativos desconhecidos com acesso a notificações. A troca de senhas é recomendada para contas usadas no aparelho, especialmente se a vítima interagiu com páginas abertas a partir de mensagens da campanha ou reutiliza credenciais entre serviços. Também é necessário orientar contatos e grupos que receberam mensagens automáticas para que ignorem links anteriores, pois a propagação explora confiança social e pode continuar gerando cliques mesmo depois da remoção do aplicativo no dispositivo original.

Em ambientes corporativos, a mitigação deve combinar controle preventivo e detecção. Políticas de MDM podem restringir aplicativos não aprovados, alertar sobre concessão de notification listener a aplicativos sem necessidade legítima e bloquear exceções de bateria para software não gerenciado. A revisão de permissões deve ser tratada como controle recorrente, não apenas como ação pós-incidente, porque o abuso depende de autorizações que muitas vezes são concedidas pelo próprio usuário. Para equipes de conscientização, o ponto técnico mais útil é reforçar que mensagens vindas de contatos confiáveis podem carregar conteúdo automatizado quando o dispositivo do contato está comprometido.

A remoção do aplicativo da loja oficial encerra a disponibilidade naquele canal, mas não elimina instalações existentes nem impede redistribuição por outros meios. Por isso, a defesa deve confirmar estado final em cada dispositivo: aplicativo ausente, permissões removidas, ausência de serviço persistente e nenhum novo envio anômalo no mensageiro. Quando houver suspeita de interação com a isca, a resposta deve incluir revisão de sessões ativas, alteração de senhas, invalidação de tokens de acesso quando aplicável e monitoramento de tentativas de autenticação anormais nas contas associadas ao aparelho.

• Desinstalar FlixOnline e confirmar que o ícone oculto não deixou serviço ativo após reinicialização.
• Revogar acesso a notificações, sobreposição de tela e exceções de otimização de bateria concedidas a aplicativos desconhecidos.
• Trocar senhas de contas usadas no dispositivo e revisar sessões ativas quando houve clique em link de phishing.
• Notificar contatos ou grupos que receberam mensagens automáticas para desconsiderar links enviados pela conta afetada.
• Configurar MDM ou MTD para alertar sobre aplicativos com notification listener, sobreposição e persistência sem justificativa de negócio.
• Manter política de instalação restrita a aplicativos aprovados e revisar permissões sensíveis como parte de higiene móvel contínua.