Trojan GoPix evolui: agora mira Pix, boletos e carteiras de criptomoedas

O cenário de ameaças cibernéticas financeiras no Brasil está testemunhando uma perigosa evolução com a expansão do escopo operacional do trojan bancário GoPix. Projetado inicialmente para mirar o onipresente sistema de pagamentos instantâneos Pix, o malware agora integrou módulos sofisticados para atacar outros dois pilares financeiros críticos: o tradicional boleto bancário e as transações com criptomoedas. Essa capacidade de tripla ameaça sinaliza uma mudança estratégica por parte dos agentes de ameaça para maximizar ganhos ilícitos, cobrindo todo o espectro de pagamentos digitais usados por consumidores e empresas brasileiras.

A análise técnica revela que a funcionalidade central do trojan continua sendo engenharia social e ataques de sobreposição (overlay). Ele tipicamente infiltra dispositivos por meio de aplicativos falsos—muitas vezes disfarçados de ferramentas de utilidade, rastreadores de encomendas ou até apps financeiros de aparência legítima—distribuídos via campanhas de phishing, anúncios maliciosos ou lojas de aplicativos de terceiros. Uma vez instalado, o malware solicita permissões extensivas de acessibilidade, concedendo-lhe efetivamente a capacidade de monitorar e interagir com outros aplicativos no dispositivo.

Para transações Pix, o GoPix emprega uma técnica clássica de sobreposição. Quando um usuário abre seu app bancário legítimo para fazer um pagamento Pix, o trojan detecta essa atividade e sobrepõe uma interface falsa idêntica sobre o app real. Essa tela falsificada captura as credenciais da vítima ou, mais criticamente, altera os dados do destinatário do pagamento em tempo real, desviando fundos para contas controladas pelos atacantes.

O novo recurso de manipulação de boletos representa uma escalada significativa. Boletos estão profundamente enraizados no comércio brasileiro para pagamento de contas e compras. O malware agora escaneia a tela do dispositivo em busca de códigos de barras e números de boletos. Quando um usuário pretende pagar um boleto, o trojan pode substituir os dados do código de barras legítimo por um fraudulento, enganando a vítima para enviar o pagamento para a conta do atacante. Esse ataque é particularmente insidioso, pois explora um método de pagamento confiável e de longa data, muitas vezes percebido como mais seguro por alguns usuários.

Talvez a adição mais preocupante seja o módulo de sequestro de carteiras de criptomoedas. Essa funcionalidade opera monitorando a área de transferência do dispositivo. Quando um usuário copia um endereço de carteira de criptomoeda para colar em uma exchange ou app de pagamento, o GoPix substitui silenciosamente o endereço copiado por um pertencente ao agente de ameaça. O usuário, sem saber da troca, cola e envia os fundos diretamente para a carteira do criminoso. Dada a natureza irreversível da maioria das transações com criptomoedas, essa técnica pode levar à perda imediata e total dos fundos.

Essa evolução de um vetor de pagamento único para uma ameaça financeira multifacetada sublinha a adaptabilidade e a capacidade de recursos dos grupos cibercriminosos que miram a América Latina. Os atacantes estão claramente conduzindo uma análise de mercado detalhada, identificando quais instrumentos financeiros são mais usados e confiáveis, e então adaptando seu malware para explorá-los.

Para a comunidade de cibersegurança, o trojan GoPix expandido destaca várias prioridades defensivas críticas. Primeiro, a verificação de aplicativos é primordial. Os usuários devem ser educados a baixar apps exclusivamente de lojas oficiais (Google Play, Apple App Store) e a escrutinar nomes de desenvolvedores, avaliações e permissões solicitadas. Um app que solicita serviços de acessibilidade sem uma necessidade legítima clara é um grande alerta vermelho.

Segundo, a detecção comportamental se torna mais importante do que nunca. Soluções de segurança precisam monitorar atividades suspeitas, como o desenho de sobreposições em cima de apps bancários, modificações inesperadas da área de transferência quando apps financeiros estão em uso, ou tentativas de ler e modificar dados de código de barras na tela.

Finalmente, campanhas de conscientização do usuário precisam se adaptar. A mensagem deve ir além de "não clique em links suspeitos" para incluir orientações específicas sobre verificar detalhes de transações em múltiplas etapas—conferir duas vezes as chaves Pix e nomes de destinatários, confirmar informações do beneficiário do boleto diretamente com a empresa emissora, e sempre verificar os primeiros e últimos caracteres de um endereço de carteira de criptomoeda colado.

A proliferação do GoPix e seus semelhantes representa um ataque direto à inclusão financeira e à confiança digital em uma das economias digitais mais dinâmicas do mundo. Combatê-lo requer um esforço coordenado de instituições financeiras, empresas de cibersegurança, operadores de lojas de aplicativos e usuários finais para elevar barreiras, detectar atividades maliciosas precocemente e limitar a lucratividade desses esquemas fraudulentos.