# Perseus
> [!danger] Resumo
> Malware bancário Android de nova geração que evolui da linhagem [[cerberus-malware|Cerberus]]/Phoenix, oferecendo device takeover (DTO) completo via VNC/HVNC, ataques de overlay e uma capacidade inédita de escanear aplicativos de notas para extrair senhas e frases de recuperação de criptomoedas.
## Visão Geral
O [[perseus-malware|Perseus]] é um trojan bancário Android descoberto pela [[threatfabric|ThreatFabric]] em março de 2026, representando a mais recente evolução da prolífica linhagem [[cerberus-malware|Cerberus]] → Phoenix. Distribuído ativamente via apps dropper disfarçados de serviços IPTV (streaming), o malware combina funcionalidades comprovadas de seus predecessores com inovações como **escaneamento de aplicativos de notas** para extrair dados sensíveis.
O Perseus herda a estrutura de classes, convenções de nomenclatura e features core do Phoenix (overlay, acessibilidade, keylogging) mas adiciona uma plataforma mais flexível e capaz, incluindo monitoramento de notas em Google Keep, Samsung Notes, Evernote e Microsoft OneNote. Artefatos no código - como logging extensivo, emojis e debugging - sugerem possível assistência de LLM no desenvolvimento.
Variantes incluem branches em inglês (debug-heavy) e turco (discreto), com infraestrutura compartilhada com [[hook-malware|Medusa]] e Klopatra. Os alvos principais são usuários na Turquia, Itália, Polônia, Alemanha, França, Emirados Árabes e Portugal.
## Capacidades Técnicas
- **VNC/HVNC streaming**: `start_vnc` captura screenshots em Base64 JPEGs; `start_hvnc` envia hierarquia `AccessibilityNodeInfo` em JSON para interação programática
- **Manipulação de UI**: `click_coord`, `action_click`, `action_long_click`, `swipe_up`, `action_custom_gesture`, `global_action_back/home/recents` para simulação de interações
- **Escaneamento de notas**: `scan_notes` - extrai conteúdo do Google Keep, Samsung Notes, Evernote, Microsoft OneNote buscando senhas, frases de recuperação e dados financeiros
- **Overlay attacks**: Telas falsas sobre aplicativos bancários e financeiros para captura de credenciais
- **Keylogging**: Captura contínua via Accessibility Services
- **Stealth**: `action_blackscreen` oculta operações; `nighty` silencia áudio do dispositivo
- **Desbloqueio**: `unlock_pin` tenta PIN unlock; `get_unlockpass` intercepta credenciais de desbloqueio
- **Sideload forçado**: `install_from_unknown` força habilitação de instalação de fontes desconhecidas
- **Anti-análise**: Detecta Frida, Xposed, root, emuladores, SIM ausente, contagem baixa de apps, anomalias de bateria - computa score de suspeita enviado ao C2
## Táticas, Técnicas e Procedimentos (TTPs)
| Tática | Técnica | Descrição |
|--------|---------|-----------|
| Execução | [[t1204-002-malicious-file\|T1204.002]] | Dropper apps disfarçados de serviços IPTV |
| Coleta | [[t1056-001-keylogging\|T1056.001]] | Keylogging contínuo via Accessibility |
| Coleta | [[t1005-data-from-local-system\|T1005]] | Escaneamento de apps de notas para senhas e recovery phrases |
| Evasão | [[t1027-obfuscated-files-or-information\|T1027]] | Ofuscação e anti-análise (Frida, Xposed, emulador) |
| C2 | [[t1071-001-web-protocols\|T1071.001]] | Comúnicação HTTP/HTTPS com painel C2 |
| Descoberta | [[t1082-system-information-discovery\|T1082]] | Coleta de informações do dispositivo e score de suspeita |
| Evasão | [[t1055-process-injection\|T1055]] | Overlay injection em apps legítimos |
| Acesso a Credenciais | [[t1555-003-credentials-from-web-browsers\|T1555.003]] | Overlay attacks para roubo de credenciais |
## Cadeia de Infecção
1. **Distribuição**: Sites de phishing promovendo apps IPTV premium para sideloading
2. **Dropper**: Apps trojanizados (ex: Rojá App Directa, TvTApp, PolBox Tv) bypassam restrições do Android 13+
3. **Instalação**: App solicita permissões de acessibilidade
4. **Registro**: Dispositivo registrado no painel C2 com informações do sistema e score de suspeita
5. **Configuração**: C2 envia lista de apps-alvo e overlays
6. **Monitoramento**: Accessibility Service monitora apps abertos e escaneia apps de notas
7. **Overlay/Keylogging**: Telas falsas injetadas sobre apps bancários; keylogging contínuo
8. **VNC/HVNC**: Operador inicia sessão remota para device takeover completo
9. **Fraude**: Execução de transações bancárias ou roubo de crypto via frases de recuperação
## Atores Associados
O Perseus é distribuído como **Malware-as-a-Service** com múltiplos operadores. Compartilha infraestrutura com Medusa e Klopatra. A linhagem [[cerberus-malware|Cerberus]] → Phoenix → Perseus representa uma evolução contínua de uma das famílias de malware móvel mais prolíficas.
## Apps Dropper Conhecidos
| Nome | Package |
|------|---------|
| Rojá App Directa | `com.xcvuc.ocnsxn` |
| TvTApp | `com.tvtapps.live` |
| PolBox Tv | `com.streamview.players` |
## Países-Alvo
Turquia, Itália, Polônia, Alemanha, França, Emirados Árabes Unidos, Portugal.
## Indicadores de Comprometimento (IoCs)
IoCs específicos são dinâmicos por campanha MaaS. A detecção recomendada inclui:
- Monitoramento de permissões de acessibilidade em apps IPTV/streaming
- Detecção de packages conhecidos: `com.xcvuc.ocnsxn`, `com.tvtapps.live`, `com.streamview.players`
- Análise comportamental de acesso a apps de notas por processos não autorizados
Consulte relatório da [[threatfabric|ThreatFabric]] para IoCs atualizados.
## Detecção
- Monitorar apps Android que solicitam permissões de Accessibility Services sem justificativa funcional clara ([[t1204-002-malicious-file|T1204.002]])
- Detectar apps instalados de fora da Play Store (sideloading) em dispositivos corporativos gerenciados por MDM
- Alertar para acesso de apps desconhecidos a apps de notas (Google Keep, Samsung Notes, Evernote, OneNote) ([[t1005-data-from-local-system|T1005]])
- Usar soluções MTD (Mobile Threat Defense) com análise comportamental para detectar VNC/HVNC e overlay attacks
- Bloquear packages conhecidos: `com.xcvuc.ocnsxn`, `com.tvtapps.live`, `com.streamview.players`
## Relevância LATAM/Brasil
O [[perseus-malware|Perseus]] é altamente relevante para o Brasil e a América Latina. O país possui um dos maiores volumes de transações bancárias móveis do mundo, com aplicativos de bancos como Nubank, Itaú, Bradesco e Caixa entre os mais usados em dispositivos Android. A distribuição via apps IPTV piratas é especialmente eficaz no contexto brasileiro, onde serviços IPTV não-oficiais têm penetração massiva. A linhagem Cerberus/Phoenix que originou o Perseus já foi documentada em campanhas direcionadas a usuários brasileiros, e a evolução para Perseus representa uma ameaça crescente ao ecossistema financeiro móvel do país.
## Referências
- [ThreatFabric - Perseus: DTO Malware That Takes Notes](https://www.threatfabric.com/blogs/perseus-dto-malware-that-takes-notes)
- [The Hacker News - New Perseus Android Banking Malware](https://thehackernews.com/2026/03/new-perseus-android-banking-malware.html)
- [Broadcom - Perseus Mobile Malware Protection Bulletin](https://www.broadcom.com/support/security-center/protection-bulletin/perseus-mobile-malware)
- [SC World - Perseus Android Malware Evolves from Cerberus/Phoenix](https://www.scworld.com/brief/perseus-android-malware-evolves-from-cerberus-and-phoenix-for-device-takeover)