Os malwares para Android mais perigosos que você deve conhecer

A magnitude do problema

Segundo o relatório anual de ameaças móveis da Kaspersky Securelist, foram bloqueados mais de 14 milhões de ataques com malware, adware ou software móvel indesejado ao longo de 2025 — uma média de 1,17 milhão por mês. Desses, foram detectados mais de 815 mil pacotes de instalação maliciosos, dos quais 255 mil eram cavalos de troia bancários¹.

Não é um problema teórico nem exagerado para vender alguma coisa: são números de detecção real de uma das maiores empresas de cibersegurança do mundo, publicados em março de 2026.

Triada: o que se instala antes de você comprar o aparelho

Triada é um trojan de acesso remoto (RAT) modular para Android, descoberto originalmente pela Kaspersky em março de 2016. Em 2025 teve um ressurgimento importante: segundo o The Hacker News, foi detectado pré-instalado em modelos de smartphones falsificados vendidos a preço reduzido². A Kaspersky descreveu assim: "o Triada infecta as imagens do sistema do aparelho através de um terceiro durante o processo de produção" — ou seja, compromete a cadeia de suprimentos na fábrica, exatamente o mesmo padrão que o BADBOX 2.0 usa em TV boxes.

Só entre 13 e 27 de março de 2025, mais de 2.600 usuários se depararam com a nova versão; até o fim de abril já havia mais de 4.500 infecções detectadas no mundo, com maior concentração na Rússia, seguida por Reino Unido, Países Baixos, Alemanha, Brasil e Emirados Árabes Unidos^2,3. Uma vez instalado, o Triada pode roubar contas de Telegram, TikTok e Instagram, interceptar e enviar mensagens de WhatsApp, sequestrar endereços de carteiras de criptomoedas, monitorar a navegação, substituir números durante chamadas, interceptar SMS e inscrever a vítima em serviços pagos.

Joker: o clássico que o Google continua expurgando da Play Store

Joker (chamado internamente de "Bread" pelo Google) é um spyware combinado com discador de tarifa premium: se esconde dentro de apps que parecem legítimos e, uma vez instalado, acessa notificações, lê e envia SMS, e inscreve a vítima em serviços de tarifa premium sem consentimento — além de coletar listas de contatos.

O que chama atenção no Joker não é um único incidente, mas sua persistência ano após ano:

• Em janeiro de 2020, o Google Play Protect removeu 1.700 apps únicos da família "Bread".
• Em setembro de 2020, foram identificadas 17 amostras novas, com cerca de 120 mil downloads.
• O Google expurgou outros 24 apps infectados, que haviam sido baixados por ao menos 472 mil usuários, por inscrevê-los em serviços de SMS premium e roubar contatos e mensagens.
• Em 2022 apareceu uma variante ("SpyJoker") com mais de 3 milhões de instalações antes de ser removida.

É um bom lembrete de que "estar na Google Play" não é garantia absoluta: o Google detecta e remove esses apps ativamente, mas o malware continua reaparecendo com novas identidades⁴.

Cavalos de troia bancários: Vultur e a família Mamont

Os cavalos de troia bancários são a categoria de malware Android que mais cresceu em 2025. Segundo a Kaspersky, a família Mamont representou cerca de metade (49,8%) de todos os pacotes de trojans bancários detectados no ano completo¹. Junto com o Mamont, 2025 viu o surgimento de várias famílias novas: Vultur, DroidBot, Errorfather e BlankBot.

O Vultur em particular foi identificado pela primeira vez em 2021 como um trojan bancário relativamente simples, mas até 2024 já havia evoluído para uma ameaça muito mais sofisticada, com maior controle sobre o aparelho infectado⁵ — um padrão típico desse tipo de malware: não desaparece, se profissionaliza.

Um dado adicional do mesmo relatório da Kaspersky é especialmente relevante para este site: eles identificaram o "Keenadu", um backdoor pré-instalado que é injetado durante a fabricação do aparelho diretamente nas bibliotecas centrais do Android — mais um exemplo de que o malware pré-instalado de fábrica não é um caso isolado das TV boxes, mas uma tendência crescente em todo o ecossistema Android¹.

O que todos eles têm em comum

Nenhum exemplo desta lista é detectado por um antivírus tradicional que só escaneia os apps que você instalou. Triada e "Keenadu" vivem no firmware ou nas bibliotecas do sistema desde antes da primeira ligação do aparelho. Joker e os cavalos de troia bancários se disfarçam de apps legítimos até que o Google (ou alguém) os detecte e remova — mas, até lá, já infectaram centenas de milhares de usuários.

Se o seu aparelho é uma TV box genérica, sem marca reconhecida ou sem certificação do Google, o risco de ter algo desse tipo pré-instalado é real e documentado, não hipotético.