Android adiciona registro forense opcional para investigar spyware avançado

Novo recurso do Modo de Proteção Avançada guarda eventos de dispositivo e rede por 12 meses com criptografia de ponta a ponta para apoiar análise de comprometimento em celulares de alto risco.

Componente	Recurso Intrusion Logging no Android, integrado ao Modo de Proteção Avançada.
Vetor	Análise posterior de possível comprometimento por spyware sofisticado, com coleta diária de eventos de dispositivo, aplicações e rede.
Impacto	Preservação de artefatos forenses fora do alcance direto de malware instalado no aparelho, com retenção criptografada por 12 meses.
Prioridade	Ativar o recurso em dispositivos de usuários de alto risco e definir fluxo seguro para exportação, custódia e análise dos logs descriptografados.
Versões	Disponível para dispositivos com a atualização de dezembro do Android 16 e versões mais novas.
Artefatos	Eventos de Wi-Fi, Bluetooth, consultas DNS, conexões por endereço IP, comportamento do dispositivo e atividade de aplicações.
Mitigação	Usar os logs para investigação com especialistas confiáveis, proteger cópias exportadas e considerar riscos legais associados a dados descriptografados.

Resumo técnico

O Android passou a incluir um recurso opcional chamado Intrusion Logging, desenhado para preservar registros forenses em cenários de suspeita de comprometimento por spyware avançado e ferramentas de extração de dados móveis. A função fica dentro do Modo de Proteção Avançada e não atua como antivírus, bloqueador de exploração ou mecanismo de remoção de malware. Seu papel é registrar, manter íntegra e disponibilizar uma linha de eventos de dispositivo e rede que possa ser examinada depois por equipes especializadas quando um usuário de alto risco suspeitar que o telefone foi alvo de vigilância direcionada.

A principal mudança operacional é a persistência dos artefatos fora do controle local do aparelho. Os logs são criptografados de ponta a ponta no próprio dispositivo e armazenados em servidores do Google por 12 meses. As chaves ficam protegidas por uma combinação de senha da Conta Google e credenciais de bloqueio de tela, o que impede acesso direto por terceiros e pelo próprio provedor de armazenamento. Essa arquitetura tenta resolver uma limitação comum em investigações móveis: spyware com privilégio suficiente no dispositivo pode apagar rastros locais, modificar evidências ou reduzir a janela de análise antes que a vítima consiga procurar ajuda técnica.

O recurso foi construído para casos em que o valor forense supera o custo de registrar metadados sensíveis. A coleta inclui atividades de rede, comportamento do dispositivo e informações sobre aplicações em execução. Como a captura ocorre em nível de sistema, ela também registra eventos gerados durante navegação em modo anônimo no Chrome, incluindo consultas DNS e conexões a endereços IP. O conteúdo exato de páginas acessadas não é descrito como parte da coleta, mas um analista com acesso aos logs descriptografados pode inferir domínios visitados e padrões de comunicação. Essa característica exige consentimento claro do usuário e disciplina de custódia quando os registros forem exportados.

Fluxo técnico

Quando o Intrusion Logging é ativado, o Android passa a gerar registros diários de atividade do dispositivo. A coleta contempla mudanças em conexões de rede, como início e parada de Wi-Fi e Bluetooth, além de consultas DNS e endereços IP associados a conexões. Também há registro de comportamento do aparelho e das aplicações executadas. Em uma investigação de spyware, esses dados ajudam a reconstruir janelas de atividade, identificar comunicação incomum com infraestrutura externa, correlacionar ações de aplicativos com eventos de rede e separar tráfego esperado de conexões suspeitas originadas por processos ou componentes abusivos.

A proteção central está no ciclo de armazenamento. Os dados são criptografados no dispositivo antes de serem enviados para armazenamento remoto. Como a cópia persistente fica fora do telefone e sem acesso descriptografado pelo operador do serviço, um agente malicioso instalado no aparelho não deveria conseguir apagar ou adulterar o histórico preservado no servidor. Isso é relevante contra spyware móvel sofisticado, que frequentemente busca reduzir evidências por meio de limpeza de arquivos, remoção de bancos de dados locais, alteração de timestamps ou bloqueio de ferramentas de diagnóstico. A retenção remota aumenta a chance de preservar uma sequência temporal útil mesmo quando o dispositivo continua sob controle parcial do invasor.

A retenção tem limite definido de 12 meses, com exclusão automática após esse período. Depois de ativado, o usuário não consegue remover manualmente os logs antes do fim da janela, mesmo que encerre a conta ou desative a funcionalidade. Essa decisão melhora a resistência contra coerção técnica local e contra tentativas de limpeza após comprometimento, mas cria uma obrigação de avaliação prévia: quem habilita a função aceita que determinados metadados permanecerão armazenados durante todo o ciclo de retenção. O usuário pode baixar os registros para manter uma cópia por prazo maior, porém a cópia exportada deixa de ter as mesmas garantias de proteção do ambiente criptografado remoto.

O fluxo de acesso aos logs ocorre pelo aplicativo Configurações, no caminho Security & privacy -> Advanced Protection -> Intrusion Logging -> Access logs. A partir desse ponto, os registros podem ser disponibilizados para investigação. Em um processo forense correto, a exportação deve ser tratada como material sensível: o arquivo descriptografado pode revelar hábitos de rede, domínios acessados, horários de atividade e indícios de aplicativos usados. A análise precisa preservar cadeia de custódia, registrar quem acessou os dados, manter cópias protegidas e evitar transferência por canais sem criptografia adequada.

Superfície afetada

A superfície mais relevante é formada por dispositivos Android usados por pessoas com risco elevado de vigilância direcionada, incluindo jornalistas, defensores de direitos humanos, pesquisadores, figuras públicas, operadores políticos e outros alvos que podem enfrentar spyware comercial ou ferramentas de extração móvel. O recurso não depende de uma família específica de malware e não exige que o operador conheça previamente um CVE, hash ou servidor de comando e controle. Ele aumenta a quantidade de telemetria disponível para investigar um incidente quando os sinais tradicionais são escassos, destruídos ou insuficientes para explicar o comportamento observado.

A disponibilidade informada cobre aparelhos com a atualização de dezembro do Android 16 e versões posteriores. Ambientes corporativos e organizações que protegem usuários de alto risco precisam considerar a versão do sistema, o estado do Modo de Proteção Avançada e a política interna para acesso a registros. Como a coleta é opcional, aparelhos elegíveis não passam a produzir esse material automaticamente para todos os usuários. A ativação deve ser uma decisão planejada, especialmente em organizações sujeitas a normas de privacidade, regras trabalhistas, obrigações legais de descoberta de dados ou restrições de transferência internacional de informação.

A mesma rodada de melhorias amplia outras proteções do Android que afetam a exposição a fraudes, trojans bancários e abuso físico do dispositivo. Chamadas financeiras verificadas permitem que o sistema consulte o aplicativo bancário instalado para confirmar se uma ligação supostamente feita por banco participante é legítima; se o aplicativo indicar que não há tentativa de contato, a chamada pode ser encerrada automaticamente. A funcionalidade será aplicada em dispositivos Android 11 ou superior com bancos participantes, incluindo Revolut, Itaú e Nubank, antes de expansão para outras instituições.

Também há mudanças voltadas a ameaças móveis comuns: expansão do Live Threat Detection para alertar sobre comportamento suspeito como encaminhamento de SMS e sobreposições de acessibilidade, verificação de arquivos APK baixados pelo Chrome quando o Safe Browsing estiver ativo, restrição do acesso à API de serviços de acessibilidade para aplicativos que não sejam ferramentas de acessibilidade, ocultação temporária de OTPs por SMS da maioria dos aplicativos por três horas e capacidade de operadoras desativarem 2G por padrão para reduzir exposição a tecnologias legadas.

• Dispositivos com Modo de Proteção Avançada e Intrusion Logging ativado preservam eventos forenses criptografados fora do aparelho.
• Logs podem conter metadados de navegação em modo anônimo, como consultas DNS e conexões por IP, porque a coleta opera no nível do sistema.
• A retenção de 12 meses impede remoção antecipada pelo usuário depois da ativação, o que exige avaliação jurídica e operacional antes do uso.

Hunting e telemetria

Em investigações de spyware, os logs devem ser usados para construir uma linha do tempo de eventos antes de buscar indicadores isolados. A equipe deve correlacionar horários de conexões incomuns com instalação, atualização ou execução de aplicativos; mudanças de Wi-Fi e Bluetooth com deslocamentos físicos; consultas DNS com domínios raros ou recém-observados; e conexões IP com provedores de hospedagem, redes privadas virtuais, proxies ou infraestrutura que não aparece em perfis normais de uso. O valor do recurso está em permitir análise retrospectiva mesmo quando o dispositivo já não contém vestígios locais suficientes.

A telemetria não substitui aquisição forense completa, análise de backup, revisão de perfis de configuração, inspeção de permissões ou validação de integridade do sistema. Ela adiciona uma camada persistente de evidências que pode orientar hipóteses. Se um spyware usou exploração sem clique e apagou componentes temporários, ainda pode ter deixado padrões de rede, janelas de atividade ou interação anômala com serviços do sistema. Se o comprometimento envolveu um aplicativo malicioso, os registros podem ajudar a vincular comportamento de rede a momentos de execução e a mudanças de permissão ou atividade observável.

Para trojans bancários Android, os recursos complementares de detecção também geram pontos de observação úteis. Alertas de encaminhamento de SMS podem indicar tentativa de interceptar OTPs ou mensagens transacionais. Sobreposições de acessibilidade podem apontar coleta de credenciais por telas falsas ou controle abusivo da interface. Verificação de APK no fluxo de download do Chrome reduz o intervalo entre obtenção do instalador e detecção, desde que o Safe Browsing esteja habilitado. A restrição de acessibilidade diminui uma técnica recorrente em malware móvel que usa serviços legítimos para ler tela, automatizar toques e impedir remoção pelo usuário.

• Consultas DNS para domínios desconhecidos, raros ou incompatíveis com os aplicativos usados pelo titular do aparelho.
• Conexões IP repetidas em horários sem interação do usuário, principalmente após mudanças de rede ou desbloqueio do dispositivo.
• Eventos de SMS forwarding, uso de acessibilidade por aplicativos sem função legítima e sobreposições exibidas por apps financeiros ou de mensagem.
• Instalação ou tentativa de instalação de APK obtido pelo Chrome antes de alerta do Safe Browsing ou bloqueio por reputação.
• Alterações de Wi-Fi, Bluetooth e conectividade próximas a eventos suspeitos de extração, vigilância ou perda física do aparelho.

Mitigação

A primeira decisão defensiva é identificar quais usuários realmente precisam do Intrusion Logging. A ativação faz sentido para perfis de alto risco que podem precisar comprovar ou investigar comprometimento sofisticado. Para esses casos, a organização deve documentar consentimento, finalidade, tempo de retenção, responsáveis pela análise e procedimento de exportação. Como os logs descriptografados podem revelar metadados sensíveis, a cópia baixada deve ser tratada com controles equivalentes aos de evidência digital: criptografia em repouso, acesso mínimo necessário, trilha de auditoria e descarte controlado após conclusão da análise.

Em suspeita de comprometimento, a orientação operacional é evitar ações que destruam evidências antes da coleta. O aparelho deve permanecer preservado, com conectividade controlada conforme o risco, e os registros devem ser exportados por um responsável autorizado. A análise precisa combinar os logs com outros materiais disponíveis, como histórico de aplicativos instalados, permissões concedidas, eventos de conta, alertas de EDR móvel quando houver, backups, registros de autenticação e relatos do usuário sobre mensagens, chamadas, links ou comportamento anômalo. O objetivo é confirmar encadeamento técnico, não apenas listar conexões desconhecidas.

Para a superfície bancária e de fraude, equipes devem validar se os aplicativos financeiros usados por sua base participarão do mecanismo de chamadas verificadas e revisar fluxos de atendimento que ainda dependem de ligação ativa para confirmação de identidade. Chamadas encerradas automaticamente a partir de números designados como somente entrada reduzem uma classe específica de engenharia social, mas não eliminam phishing por mensagem, falso suporte, aplicativos clonados ou indução à instalação de APK. Controles de educação, bloqueio de instalação fora da loja autorizada e monitoramento de permissões continuam necessários.

As demais proteções devem ser tratadas como endurecimento do ecossistema Android. Manter Safe Browsing ativo no Chrome, revisar aplicativos com permissão de SMS, remover apps que abusam de acessibilidade, aplicar atualizações do sistema e incentivar bloqueio biométrico forte reduzem caminhos comuns de comprometimento. Em dispositivos marcados como perdidos, o bloqueio biométrico e restrições a novas conexões Wi-Fi e Bluetooth dificultam ações de quem obteve acesso físico. A disponibilidade do IMEI na tela bloqueada para Android 12 ou superior melhora processos de recuperação, mas não substitui inventário prévio e política de resposta a perda ou roubo.

• Ativar Intrusion Logging apenas em dispositivos elegíveis e com necessidade real de investigação forense persistente.
• Definir procedimento de exportação, armazenamento criptografado, controle de acesso e descarte de logs descriptografados.
• Correlacionar logs do Android com eventos de conta, permissões de aplicativos, alertas de endpoint móvel e relatos do usuário.
• Manter Safe Browsing habilitado no Chrome para avaliação de APK baixado antes da instalação.
• Revisar aplicativos com acesso a SMS e serviços de acessibilidade, removendo permissões incompatíveis com a função declarada.
• Aplicar atualizações do Android e validar suporte à atualização de dezembro do Android 16 ou versões mais novas nos aparelhos de alto risco.