Hackers estão usando iscas de aplicativos de streaming para distribuir o Mirax. Este trojan bancário para Android permite que os operadores controlem remotamente os celulares das vítimas e iniciem transferências fraudulentas.
As perdas estimadas chegam a milhões de dólares, embora os casos confirmados capturem apenas parte do impacto da campanha.
A operação permanecia ativa quando a Group-IB publicou sua investigação, em 5 de novembro. Os pesquisadores vincularam as infecções por meio de tags de campanha incorporadas, aquafina e aquafina_all, observadas em amostras que se comunicavam com vários servidores de comando e controle (C2).
As respostas dos servidores revelaram configurações de alvos que abrangem mais de 20 aplicativos bancários e de carteiras digitais regionais, além de corretoras de criptomoedas.
A cadeia de distribuição suspeita começa com aplicativos de streaming de baixa reputação disponíveis na Google Play.
Evidências sugerem que anúncios e links de vídeo dentro desses aplicativos redirecionam os usuários para um dropper (programa instalador malicioso) baixado de fora da loja. Importante: os pesquisadores não estabeleceram que a carga maliciosa do Mirax tenha sido distribuída diretamente pela Google Play.
Um dropper confirmado se disfarçava de “TikTok 18+”, uma imitação de tema adulto sem relação com o TikTok. A carga maliciosa seguinte se passa pelo Google Play Services, substituindo uma letra latina por um caractere cirílico visualmente semelhante.
Em seguida, ela pressiona agressivamente as vítimas a ativarem o acesso ao Serviço de Acessibilidade do Android.
Essa permissão possibilita o controle interativo do dispositivo. O Mirax combina o abuso do serviço de acessibilidade com keylogging (registro das teclas digitadas), interceptação de SMS (serviço de mensagens curtas) e de notificações, sobreposições em HTML (linguagem de marcação para páginas da web) e recursos de compartilhamento de tela, para capturar credenciais e códigos de autenticação.
Ele também pode roubar senhas da tela de bloqueio e reutilizá-las para desbloquear o aparelho sem supervisão.
Em vez de apenas roubar senhas para uso posterior, os operadores podem abrir o aplicativo bancário legítimo e executar transferências diretamente.
Consequentemente, as transações se originam do aparelho e da sessão bancária reais do cliente, o que torna menos eficazes as verificações convencionais de confiança do dispositivo.
Os pesquisadores identificaram transferências internacionais envolvendo contas suspeitas de laranjas, incluindo contas na Índia, enquanto o rastreamento continuava.
A Group-IB confirmou milhares de infecções entre clientes de bancos de varejo na região META (Oriente Médio, Turquia e África) entre março e setembro de 2026, com a atividade aumentando durante os feriados de Eid e no fim de julho.
Malware Android Mirax
A principal distinção técnica do Mirax é a separação entre as capacidades incorporadas e a configuração operacional.
Os modelos de sobreposição bancária e os mapeamentos de aplicativos chegam após a instalação, permitindo que amostras idênticas tenham como alvo instituições diferentes sem exigir um novo lançamento do pacote APK (formato de instalação de aplicativos Android). Por isso, a análise estática não consegue revelar o perfil completo dos alvos.
Sua infraestrutura de comando usa dois canais WebSocket (protocolo de comunicação em tempo real), que separam os comandos dos operadores da exfiltração de dados, com long-polling HTTP disponível como alternativa.
Os operadores podem alterar remotamente hosts, portas, configurações de TLS (protocolo de segurança para conexões criptografadas), intervalos de consulta e o comportamento do DNS-over-HTTPS (resolução de DNS criptografada por HTTPS). A resolução de DNS criptografada por padrão reduz a visibilidade para defensores que dependem de logs de DNS locais ou das operadoras.
Nomes de pacotes aleatórios, rótulos de aplicativos que mudam constantemente e ícones ocultos no launcher enfraquecem ainda mais o rastreamento baseado em assinaturas.
Receptores de broadcast garantem a persistência, enquanto o bloqueio de desinstalação, a interferência em aplicativos de segurança e as telas de atualização falsas ajudam a ocultar a atividade maliciosa.
Um módulo SOCKS5 (protocolo de proxy), adicionado em fevereiro de 2026, também transforma os celulares infectados em proxies residenciais.
O Mirax é anunciado desde dezembro de 2025 em fóruns criminosos de língua russa por um desenvolvedor que usa o apelido MiraxBot, que, segundo relatos, restringe o acesso a afiliados selecionados.
Seu construtor e painel de gestão permitem implantações repetíveis, e não ataques isolados.
Para os bancos, a Group-IB recomenda correlacionar transações ativas com sinais de controle remoto, compartilhamento de tela e abuso de acessibilidade, e então reter pagamentos suspeitos até que o cliente faça a verificação.
A investigação também disponibiliza hashes de arquivos, indicadores de rede e o inventário de comandos observados, para fins de monitoramento defensivo.
Os usuários devem recusar pedidos de acessibilidade feitos por aplicativos de entretenimento e evitar instalar softwares oferecidos por anúncios ou redirecionamentos de streaming.
IOCs (indicadores de comprometimento)
Nota: endereços IP e domínios foram intencionalmente desfigurados (ex.: [.]) para evitar resolução ou hiperlink acidental. A restauração do formato original deve ser feita somente em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de eventos e informações de segurança).
