Malware bancário Android na LATAM: Pix, NFC e PromptSpy

O que a frente Android mede

A pergunta deste artigo não é quantos celulares estão infectados, mas quais técnicas as fichas Android do Atlas documentam. No corte de 17 de setembro de 2026, o índice reúne 28 famílias, entre elas PixPirate, BRATA, BrasDex, Godfather, Zanubis, Medusa, NGate, Copybara, Hook e Xenomorph.

O total é um inventário documental, não uma amostra de vítimas. A atualização de 29 de setembro registra 31 famílias Android em um conjunto de 67. Para não misturar versões, esta leitura mantém o corte de 28 e apresenta o posterior separadamente. A cobertura por país e seus limites explica por que essas contagens não medem prevalência regional.

Padrões recorrentes

• Overlays: a análise histórica registra T1417.002 do MITRE ATT&CK Mobile em 15 das 28 fichas. É uma frequência dentro das fichas, não uma taxa de ataques.
• Abuso de acessibilidade: as fontes descrevem permissões usadas para ler a interface, interceptar interações ou automatizar transferências. Nem todas as capacidades são atribuídas a todas as famílias.
• Área de transferência e chaves Pix: o interesse em dados copiados relacionados a pagamentos é distinto da captura de credenciais e do controle da tela.
• Distribuição fora das lojas: há APKs entregues por mensagens, smishing ou componentes de download. Isso não estabelece uma rota universal de infecção.
• Relay NFC: o subconjunto citado inclui NGate, NFCMultiPay e DevilNFC. Seu mecanismo não deve ser extrapolado para todo o malware Android.

Por que o Pix importa

O contexto de pagamentos vem de uma fonte diferente do inventário de malware: o Relatório de Gestão do Pix 2023-2025, citado no artigo original. Os números históricos ali reproduzidos são 79,8 bilhões de transações em 2025, crescimento de 25,7% sobre 2024 e valor superior a R$ 35 trilhões.

O recorte citado também registra 313.339.328 transações em 5 de dezembro de 2025, 148 milhões de pessoas físicas e 12 milhões de empresas que haviam utilizado o Pix até dezembro daquele ano, além de mais de 920 milhões de chaves cadastradas. Esses números mantêm a atribuição e a data originais; não foram atualizados nem recalculados a partir do PDF.

A interpretação editorial é que a escala do canal ajuda a entender seu interesse econômico. Isso não demonstra a proporção de pagamentos fraudulentos. Nomes de famílias também não estabelecem parentesco: PixPirate, PixBankBot, PixStealer e GoPix—esta última no grupo Windows/PoS—exigem referências próprias.

Pix por aproximação e NFC

O artigo original situa em junho de 2025 a inclusão formal do pagamento por aproximação no Regulamento do Pix: iniciar a operação aproximando o celular de uma máquina com NFC. Esse contexto regulatório é mantido com atribuição ao relatório do Banco Central, pendente de conferência documental específica.

A existência do Pix por aproximação e de registros de relay NFC no corpus não prova um ataque contra essa modalidade de Pix. São fatos distintos. O cruzamento documental China–LATAM oferece outra leitura, com suas próprias ressalvas; não é usado aqui para atribuir infraestrutura nem preencher essa lacuna de evidência.

PromptSpy: IA generativa e limites de observação

A análise da ESET, publicada originalmente em 19 de fevereiro de 2026, descreve o PromptSpy como o primeiro malware Android conhecido por sua equipe a utilizar IA generativa no fluxo de execução. O Gemini orienta a persistência nos aplicativos recentes; o malware também inclui acesso remoto VNC e mecanismos contra desinstalação.

A ressalva geográfica importa: a ESET identifica indícios de direcionamento à Argentina, mas informa que não havia observado o PromptSpy em sua telemetria e considera uma possível prova de conceito. Isso não demonstra uma onda confirmada de infecções na LATAM nem transforma todas as funções em capacidades baseadas em IA.

Nomes e parentescos

Para normalizar nomes, consulte as fichas e a tabela de aliases do Atlas. Relações registradas, como Hook/Ermac e Godfather/Anubis, permanecem atribuídas às fontes. Compartilhar uma palavra, plataforma ou alvo financeiro não basta para fundir famílias, campanhas ou operadores.

Nota de versão: os números desta análise correspondem ao corte do dataset vigente no momento da publicação; o Atlas é atualizado de forma contínua.