Malware financeiro China–LATAM: quatro casos e seus limites

Dois corpus documentais, sem certificar sua independência

O ponto de partida foi o índice LATAM de 56 famílias: 28 Android, 24 Windows e 4 PhaaS, no recorte de 17 de setembro de 2026. O site distingue uma atualização posterior para 67 famílias, de 29 de setembro. Este artigo não recalcula o cruzamento com essa segunda versão. A explicação da cobertura geográfica preserva ambos os recortes e seus limites.

A comparação anterior utilizava também um conjunto Atlas China de 31 registros, relacionado com CN, HK, MO e TW. A planilha interna de 22 de setembro o identifica como SIN_VERIF. Isso não demonstra que todos os registros sejam falsos, mas impede tratar sua curadoria como uma garantia já auditada. Também não se comprova aqui a afirmação anterior de que duas equipes independentes produziram os corpus.

Por isso, a unidade de análise deste artigo é a afirmação sustentada por um relatório específico, não apenas uma linha do índice. As fontes são preservadas, distinguindo observações relatadas, inferências do editor e lacunas do projeto. Os corpus não são fundidos, e observações de terceiros não são apresentadas como telemetria própria.

Quatro casos não significam quatro coincidências comprovadas

ToxicPanda: vínculo regional documentado. O relatório da Cleafy de 4 de novembro de 2024 inclui o Peru na distribuição dos dispositivos comprometidos, com 3,4% daquela amostra. A avaliação de operadores provavelmente falantes de chinês pertence ao fornecedor. Não demonstra nacionalidade, vínculo estatal ou a proporção de infecções em todo o Peru. A referência posterior a ToxicPanda 2.0 permanece uma versão separada, não uma atualização automática desses percentuais.

PlayPraetor: evidência regional não é presença em nosso índice. A Cleafy, em 29 de julho de 2025, identifica o Peru entre os alvos e agrupa 12% dos dispositivos nas Américas. «Américas» não deve ser substituído por «LATAM». O texto anterior do site reconhece que PlayPraetor não tinha ficha no índice LATAM de 56 famílias; portanto, não pode ser contado como coincidência comprovada entre os dois índices.

TgToxic: relação indireta que exige separar nomes. A Intel 471 retoma a análise de ToxicPanda e sua lista de aplicativos bancários europeus e latino-americanos. Esse alcance não pode ser transferido automaticamente a qualquer amostra ou campanha denominada TgToxic. O parentesco técnico é uma pista de pesquisa; a lista de alvos indica intenção. Nenhum dos dois substitui evidência de infecções locais.

Darcula/Magic Cat: plataforma documentada, impacto regional pendente. A investigação da mnemonic sustenta a existência do ecossistema examinado. O texto consultado não sustenta atribuir à LATAM a alegação interna de 884.000 cartões e 20.000 domínios. Esses números permanecem aqui apenas para identificar a alegação não verificada; não são métricas confirmadas pelas fontes citadas.

A comparação é útil porque não força o mesmo resultado nos quatro casos. Duas referências com informações regionais não tornam os demais equivalentes. A ausência de uma ficha também não demonstra ausência de ameaça. É necessário registrar separadamente o que a fonte afirma, o conteúdo de cada versão do índice e as verificações pendentes.

Comparar técnicas exige revisar também as etiquetas

O registro histórico declarou 64 identificadores MITRE distintos na LATAM, 35 na China e 18 compartilhados, além de 15 famílias por corpus com T1417.002. São contagens herdadas e não recalculadas para este artigo. A matriz de etiquetas não foi recalculada e o estado SIN_VERIF de Atlas China não foi resolvido; os números não sustentam uma nova conclusão quantitativa aqui.

Mesmo contagens reproduzíveis não demonstrariam transferência de código, afiliação entre operadores ou risco equivalente. O detalhamento da fonte e as decisões de quem atribui etiquetas ATT&CK influenciam o registro. Evidência comportamental e versão do mapeamento precisam ser examinadas antes de interpretar uma interseção.

A análise de trojans bancários de Windows oferece um contraste metodológico entre famílias, campanhas e operadores. É leitura complementar, não um vínculo técnico comprovado com estes quatro casos. Os critérios de citabilidade explicam quais informações permitem reutilizar uma afirmação sem perder seu alcance.

NFC: uma classificação não é uma história de difusão

O texto anterior descrevia cinco entradas e quatro nomes NFC em Atlas China —Ghost Tap, TX-NFC, SuperCard X e NFC-Ghost— diante de NGate, NFCMultiPay e DevilNFC no grupo Android da LATAM. Essa descrição é preservada como antecedente de classificação, não como deduplicação verificada dos conjuntos.

A análise de SuperCard X publicada pela Cleafy em abril de 2025 descreve uma operação observada na Itália. O relatório NFC Relay Goes Local de maio de 2026 discute desenvolvimentos locais e possíveis sinais de assistência de IA. São fontes para examinar mecanismos e propostas de evolução, não prova de que todos os nomes listados compartilhem código ou infraestrutura.

Uma sequência de datas de publicação também não prova uma rota causal de difusão. «Falantes de chinês», «hispanofalantes» e «português brasileiro» devem permanecer avaliações linguísticas com a confiança atribuída pela fonte, sem se transformar em passaportes ou atribuição estatal. A eventual categoria NFC do Atlas continua sendo uma decisão editorial pendente.

O que falta para tornar o cruzamento reproduzível

O próximo passo é recuperar as versões exatas dos índices, os critérios de inclusão, os estados de verificação e a matriz família–técnica. Depois, reproduzir a deduplicação e registrar a evidência de cada relação regional. O processo pode confirmar, reduzir ou descartar o cruzamento anterior; o resultado não é definido antecipadamente.

PlayPraetor e TgToxic permanecem candidatos à revisão de fichas, não inclusões concluídas. O possível adendo do nexo e a revisão de taxonomia NFC tampouco são apresentados como publicados. Cada mudança exige procedência e avaliação próprias, seguindo as notas de método do projeto.

A conclusão atual é mais restrita: há fontes úteis para examinar relações entre malware financeiro, operadores descritos por idioma e alvos regionais. As fontes citadas não certificam quatro entradas coincidentes, duas equipes independentes ou prevalência comparável. Manter esses limites visíveis torna a análise mais útil sem fabricar precisão.