# Wave Android Bancária Brasil - 6 Famílias de Malware - 2026 > [!abstract] Resumo > Em março de 2026, equipes de threat intelligence da Apura e ZenoX documentaram uma onda coordenada de 6 famílias de malware Android - [[GoPIX-v3]], [[PixGrabber]], [[BrasDex-v2]], [[NuStealer]], [[CaixaDropper]] e [[OpenBankHook]] - em campanha ativa direcionada ao sistema bancário brasileiro via PIX e Open Banking. Estimativa de 2,3 milhões de dispositivos Android expostos. **Data:** Março de 2026 | **Categoria:** Financial Crime --- ## O que aconteceu Em março de 2026, pesquisadores da Apura Cyber Intelligence e ZenoX identificaram e documentaram uma onda sem precedentes de malware Android direcionada ao sistema financeiro brasileiro, rastreada como [[wave-android-bancaria-2026]]. A campanha envolve 6 famílias de malware distintas - indicando múltiplos grupos de cibercrime operando simultaneamente - e se distingue pela exploração coordenada do **PIX** e do **Open Banking**, as infraestruturas financeiras digitais mais críticas do Brasil. As seis famílias documentadas são: - **[[GoPIX-v3]]** - evolução do GoPIX original; intercepta transações PIX via clipper e screen overlay - **[[PixGrabber]]** - nova família; foca exclusivamente em QR codes PIX, substituindo chaves em tempo real - **[[BrasDex-v2]]** - reescrita do BrasDex; adiciona suporte a Open Banking e coleta de tokens OAuth - **[[NuStealer]]** - específico para usuários Nubank e fintechs; extrai credenciais via fake overlay - **[[CaixaDropper]]** - dropper que se passa por app da Caixa Econômica Federal; instala payload secundário - **[[OpenBankHook]]** - primeira família documentada a explorar APIs de Open Banking; intercepta redirecionamentos OAuth O vetor de distribuição primário é [[t1566-phishing|phishing]] via WhatsApp e SMS (smishing), com mensagens sobre comprovantes de transferência pendentes, bloqueio de conta, atualização de segurança obrigatória e cashback de programas de fidelidade. Os aplicativos maliciosos são distribuídos via APKs fora da Play Store e, em alguns casos, por contas comprometidas na própria lojá oficial. A estimativa de 2,3 milhões de dispositivos Android expostos baseia-se na contagem de instalações confirmadas dos droppers e na análise de infraestrutura de C2, embora o número real de comprometimentos ativos sejá estimado em 180.000 a 340.000 dispositivos. O Banco Central do Brasil emitiu nota e o CERT.br publicou alertas coordenados. A Febraban (Federação Brasileira de Bancos) ativou protocolo de resposta colaborativa entre as principais instituições financeiras para bloqueio de contas mula identificadas. --- ## Atores e Ferramentas - **Threat Actor:** [[Cibercrime Financeiro Brasileiro]] (múltiplos grupos) - **Campanha:** [[wave-android-bancaria-2026]] - **Malware:** [[GoPIX-v3]], [[PixGrabber]], [[BrasDex-v2]], [[NuStealer]], [[CaixaDropper]], [[OpenBankHook]] - **Plataforma:** Android (APK fora da Play Store + lojá oficial) - **Alvos:** Usuários bancários brasileiros - foco em PIX e Open Banking - **Técnicas MITRE:** [[t1566-phishing|T1566 - Phishing]], [[t1417-input-capture|T1417 - Input Capture]], [[t1628-hide-artifacts|T1628 - Hide Artifacts]], [[t1626-abuse-elevation-control|T1626 - Abuse Elevation Control]] - **Vetores:** WhatsApp (smishing), SMS, APK sideloading, Play Store (contas comprometidas) --- ## Impacto A onda representa a convergência mais ampla já documentada de cibercrime financeiro direcionado ao Brasil em um único período. O PIX processou R$ 17 trilhões em 2025 e tornou-se o sistema de pagamentos mais utilizado do país, tornando-o o alvo natural mais crítico para malware financeiro. A adição de suporte a **Open Banking** pelas famílias mais recentes ([[BrasDex-v2]], [[OpenBankHook]]) representa uma evolução significativa: ao comprometer tokens de Open Banking, os atores ganham acesso federado a múltiplas contas bancárias do mesmo usuário em diferentes instituições - amplificando exponencialmente o dano potencial por vítima. A coordenação observada - seis famílias diferentes com infraestrutura parcialmente compartilhada - sugere um ecossistema de cibercrime financeiro brasileiro mais estruturado, possívelmente com um "fornecedor" de infraestrutura central (MaaS - Malware as a Service) servindo múltiplos grupos operacionais. --- ## Notas Relacionadas - [[wave-android-bancaria-2026]] - campanha detalhada - [[GoPIX-v3]] - perfil do malware (evolução do GoPIX) - [[BrasDex-v2]] - perfil do malware (nova versão com Open Banking) - [[venon-banking-campaign-2026]] - VENON (trojan bancário Rust - Windows) - contexto da onda 2026 - [[2026-01-venon-banking-trojan]] - evento VENON (janeiro 2026) - [[s0531-grandoreiro]] - trojan bancário brasileiro de geração anterior - [[financial|setor financeiro]] - setor alvo - [[t1417-input-capture|T1417 - Input Capture]] - técnica central de coleta de dados bancários - [[t1566-phishing|T1566 - Phishing]] - vetor de distribuição principal