apps maliciosos na Play Store: Brasil é 3º mais afetado

Google desmontou SlopAds em setembro de 2025 na Play Store, removendo 224 apps maliciosos que fraudavam anúncios via esteganografia e Remote Config. A campanha de publicidade falsa, descoberta pela Satori Threat Intelligence da HUMAN, gerava até 2,3 milhões de requisições de anúncios por dia e somava mais de 38 milhões de downloads.

Segundo o relatório dos apps maliciosos na Play Store, 228 países foram atingidos; os EUA concentram 30% das vítimas, a Índia 10% e o Brasil 7%. Após o alerta, o Google tirou os aplicativos do ar e atualizou o Play Protect para recomendar a remoção imediata em dispositivos ainda infectados. Entenda como o golpe operava, por que passou pelos filtros e o que você pode fazer agora para se proteger.

Atualizado: 18/09/2025 • Fonte principal: HUMAN Satori Threat Intelligence.

O que aconteceu e por que importa

Definição — SlopAds: nome dado a uma campanha em massa de apps com baixa qualidade e código oculto para fraude de anúncios, lembrando a proliferação de conteúdo gerado por IA de baixa curadoria (o chamado “AI slop”).

Os 224 aplicativos abusavam da cadeia de publicidade mobile, inflando impressões e cliques sem que o usuário percebesse. O resultado eram ganhos indevidos para os criminosos e consumo de recursos do aparelho (dados, bateria e processamento). Embora o golpe não roubasse dados diretamente, o modus operandi abriu brechas para download de módulos adicionais e execução de JavaScript em WebViews, elevando o risco de exposição a novas cargas maliciosas.

Como o golpe SlopAds funcionava com apps maliciosos na Play Store

A engenharia do golpe explorava a origem da instalação. Se o usuário baixasse o app diretamente da Play Store, ele operava normalmente, preservando a aparência de legitimidade. Mas quando a instalação vinha de um clique em anúncio, o aplicativo consultava o Firebase Remote Config para obter um arquivo de configuração secreto e, a partir daí, iniciava a cadeia maliciosa.

O app verificava se estava em um ambiente de análise. Se detectasse que era um dispositivo real, baixava quatro imagens PNG aparentemente inofensivas. Nessas imagens, os atacantes usavam esteganografia — técnica de esconder dados em arquivos — para transportar fragmentos encriptados de um APK. Após a junção e descriptografia, o módulo malicioso, apelidado de FatModule, era instalado para automatizar a fraude publicitária.

Com o FatModule ativo, WebViews eram abertas silenciosamente para carregar páginas e anúncios em segundo plano, gerando impressões e cliques falsos. Os domínios utilizados imitavam portais de jogos e notícias, reforçando a aparência de tráfego legítimo aos olhos das plataformas de adtech.

“A campanha SlopAds encobria a fraude com camadas de ofuscação.”

Relatório Satori Threat Intelligence — HUMAN

Impacto global e a posição do Brasil

De acordo com a HUMAN, até 228 países e territórios sofreram impacto. Os Estados Unidos responderam por 30% das vítimas, seguidos pela Índia (10%) e pelo Brasil (7%). O volume de dispositivos potencialmente atingidos decorre do alcance global das redes de anúncios e do apelo de apps simples (utilitários, jogos casuais, ferramentas de personalização), que costumam ter taxas de instalação elevadas.

Embora a exploração tenha focado fraude publicitária, há efeitos colaterais: consumo de dados e bateria, aquecimento do aparelho, degradação de desempenho e risco de exposição a novas cargas maliciosas se os agentes ampliarem o arsenal. Para o ecossistema, a fraude distorce métricas, prejudica anunciantes e corrói a confiança na cadeia de adtech.

Resposta do Google e status atual

Após a notificação da HUMAN, o Google removeu os 224 aplicativos e atualizou o Play Protect para exibir alertas em dispositivos com instalações ainda presentes, recomendando remoção imediata. A empresa também aprimorou sinais de detecção, incluindo verificações contra cargas esteganográficas e comportamento condicionado à origem da instalação.

• O que foi feito:
• Retirada dos apps e revogação de contas de desenvolvedor
• Atualização do Google Play Protect com novos avisos
• Refinamento de detecções para ofuscação e esteganografia
• Cooperação com parceiros de adtech para mitigar fraude

Como se proteger agora

• Atualize o Play Protect e execute uma verificação completa.
• Remova apps suspeitos que você instalou após clicar em anúncios.
• Revise permissões; desinstale apps que pedem acesso desnecessário.
• Prefira instalar pela busca direta na Play Store, não por banners.
• Cheque o desenvolvedor, avaliações recentes e histórico de downloads.
• Mantenha o Android e apps atualizados para patchs de segurança.
• Evite lojas paralelas e downloads fora de canais oficiais.

Atenção: até o momento, não foi publicada aqui a lista completa dos 224 títulos. Consulte as comunicações do Google Play Protect no seu aparelho e o relatório da HUMAN para detalhes técnicos.

Contexto e casos semelhantes

Campanhas que abusam de anúncios e WebViews não são novas, mas o uso combinado de esteganografia, configuração remota e detecção de ambiente eleva a sofisticação. Em ondas anteriores, já vimos apps com módulos “adware” e clickers escondidos, além de golpes que simulam serviços legítimos para baixar cargas adicionais. SlopAds segue essa tradição, com foco em escala e evasão.

• Aprendizados para o ecossistema:
• Camadas de ofuscação exigem defesa multicamadas
• Telemetria de origem de instalação é um sinal crucial
• Colaboração entre loja, adtech e pesquisadores acelera resposta

Para usuários finais, o princípio permanece: desconfie de apps que prometem ganhos fáceis, limpezas milagrosas ou funções irreais. Avaliações muito genéricas, excesso de anúncios e consumo anormal de bateria são sinais de alerta. Se algo parecer “bom demais”, provavelmente é.

Dados e evidências

De acordo com o relatório da HUMAN, a operação fraudulenta atingiu escala global com 38 milhões de instalações e até 2,3 milhões de requisições de anúncios por dia. Os apps eram produzidos em série, seguindo padrões repetitivos para passar por verificações e mascarar comportamento nocivo apenas após certas condições (como a origem via anúncio).

Os pesquisadores detalham ainda que os fragmentos do APK malicioso eram ocultados em arquivos PNG e reconstruídos no dispositivo-alvo. Essa abordagem reduz o rastro estático de indicadores de compromisso (IOCs) e dificulta a detecção automatizada, já que a carga final não está presente no pacote inicial publicado na loja.

Fonte técnica: HUMAN — Satori Threat Intelligence. Complementarmente, o Google comunicou a remoção dos apps e a atualização do Play Protect.

Considerações finais

SlopAds evidencia a maturidade da fraude publicitária no mobile com apps maliciosos na Play Store: carga condicional, esteganografia e orquestração por configuração remota. A resposta rápida removeu 224 apps e atualizou proteções, mas a lição é clara: golpistas iteram. Para o usuário, vale redobrar cuidados ao instalar aplicativos, priorizar fontes confiáveis e manter o Play Protect ativo. Para o ecossistema, a cooperação entre plataformas, adtechs e pesquisadores é essencial para reduzir a superfície de ataque e preservar a confiança na cadeia de distribuição de apps.