Stalkerware no Android: sinais, ajustes e análise

Stalkerware é um software de vigilância que alguém instala no celular de outra pessoa para espioná-la sem consentimento. A Coalition Against Stalkerware o define como software, disponível diretamente para pessoas físicas, que permite a um usuário remoto monitorar a atividade do dispositivo de outra pessoa sem o consentimento dela, e que pode facilitar vigilância por parceiro íntimo, assédio, abuso, perseguição ou violência.

A maior parte do stalkerware usa as mesmas capacidades do Android que os aplicativos legítimos — localização, acessibilidade, acesso a notificações — e o que o define não é um exploit engenhoso, e sim a ausência de consentimento. Isso dificulta detectá-lo apenas por assinatura e faz da resposta a um caso suspeito uma questão de segurança pessoal antes de ser uma questão técnica.

A dimensão do problema

O relatório da Kaspersky The State of Stalkerware in 2023, publicado no Securelist, contabilizou 31.031 usuários únicos de seus produtos móveis afetados por stalkerware naquele ano, contra 29.312 em 2022. O número cobre apenas usuários da Kaspersky e apenas aplicativos que atendem aos critérios da Coalition, então o total real provavelmente é maior.

A América Latina somou 5.478 desses usuários. O Brasil ficou em segundo lugar no mundo, com 4.186 usuários afetados, e o México em nono, com 592; na região, vieram em seguida Colômbia, Peru, Argentina, Equador e Chile. Por volta de três em cada quatro casos latino-americanos estavam no Brasil.

Fonte: Kaspersky, The State of Stalkerware in 2023. Linhas selecionadas do top dez.

No que difere do restante do malware Android

Um trojan bancário quer dinheiro e muitas vítimas que nunca conhece. O stalkerware mira uma única pessoa, e quem o opera geralmente a conhece. Daí saem quatro consequências.

A instalação exige acesso físico. O stalkerware costuma exigir acesso físico ao celular desbloqueado. A política atual do Google Play sobre stalkerware entrou em vigor em 1º de outubro de 2020, então o caminho habitual é um APK baixado do site do fornecedor com a instalação de fontes desconhecidas ativada.

Quem instala configura as permissões. Como está com o celular na mão, os pedidos de permissão e as telas de confirmação que freiam outros malwares são aceitos pelo atacante, não pela vítima. As proteções que o Android adicionou contra o abuso de acessibilidade — incluindo as configurações restritas descritas em ataques de sobreposição no Android — acrescentam etapas, mas não impedem quem tem o aparelho nas mãos.

A ocultação é o produto. Os critérios de detecção da Coalition incluem ocultar a presença, resistir à desinstalação, pedir privilégios extras, esconder a atividade e disfarçar o nome ou a descrição depois da instalação. Um aplicativo de stalkerware costuma adotar um nome que parece de serviço do sistema e tenta esconder seu ícone do launcher, algo que o Android 10 e versões posteriores dificultam para aplicativos que não são do sistema.

Os dados são pessoais, não financeiros. Localização, mensagens, registro de chamadas, contatos, fotos, histórico de navegação e, por meio de acessibilidade ou acesso a notificações, o conteúdo dos aplicativos de mensagem, como o WhatsApp.

A linha que o Google Play traça

A política de stalkerware do Google Play o define como código que coleta ou transmite dados pessoais ou sensíveis do usuário sem aviso ou consentimento adequados e sem exibir uma notificação persistente de que isso está acontecendo.

Apenas aplicativos projetados e comercializados exclusivamente para controle parental ou gestão empresarial podem oferecer rastreamento no Play, e precisam cumprir condições mínimas:

• Não podem se apresentar como solução de espionagem ou vigilância secreta.
• Não podem ocultar nem disfarçar o rastreamento, nem enganar o usuário sobre ele.
• Devem exibir uma notificação persistente o tempo todo enquanto estão em execução e um ícone único que identifique claramente o aplicativo.
• Não podem oferecer uma forma de ativar funções proibidas, incluindo links para APKs não conformes hospedados fora do Play.

A política também diz que esses aplicativos não podem ser usados para rastrear mais ninguém.

O aviso é a fronteira que o Google Play aplica. Uma notificação persistente e um ícone identificável são condições para que um aplicativo de monitoramento continue no Play; não comprovam consentimento, e um aplicativo que as cumpre pode ser usado como stalkerware contra uma pessoa adulta.

Ordem de atuação em um caso suspeito

O instinto técnico é encontrar o aplicativo e removê-lo. Para uma pessoa que pode estar sendo vigiada pelo parceiro ou por um familiar, esse pode ser o primeiro passo errado — e pesquisar o problema no celular que talvez esteja sendo monitorado também pode ser.

A orientação da Kaspersky, alinhada à Coalition, é explícita: não tentar apagar o stalkerware, mudar configurações nem mexer no celular antes de ter um plano de segurança. Remover o aplicativo pode alertar quem o instalou, o que pode agravar o abuso, e destrói provas que podem ser necessárias depois. A mesma cautela vale para instalar um novo antivírus ou rodar uma varredura no aparelho antes de avaliar o risco de alertar o agressor.

A sequência para quem apoia uma vítima — um help desk, um time de fraude, um profissional de segurança a quem uma amiga pediu ajuda — é, portanto:

1. Primeiro, o plano de segurança. A pessoa é encaminhada a uma organização de apoio local; a Coalition Against Stalkerware mantém contatos. Pesquisar e planejar é mais seguro a partir de um dispositivo ao qual a outra pessoa não teve acesso.
2. Documentação antes de qualquer mudança. O que aparece nas configurações da seção seguinte é registrado com fotos da tela tiradas com outro aparelho, não com capturas de tela no celular vigiado.
3. Segurança das contas dentro do plano. Trocar senhas ou encerrar sessões também pode alertar a outra pessoa, então o momento é definido pelo plano de segurança; quando for feito, que seja a partir de um dispositivo ao qual a outra pessoa não teve acesso.
4. Remoção apenas quando o plano permitir. Uma restauração de fábrica remove a maior parte do stalkerware, mas também as provas.

Onde o stalkerware fica visível no Android

Revisar estas configurações não as altera, mas o próprio aparelho pode estar sendo monitorado, e nada deve ser mudado ou removido antes de existir um plano de segurança.

Nenhuma configuração isolada prova que há stalkerware. A orientação da Kaspersky classifica como circunstanciais sinais como bateria acabando rápido, uso alto de dados e aplicativos desconhecidos. Os lugares abaixo são onde as capacidades do stalkerware precisam ser concedidas, e por isso é ali que ele aparece. Os nomes dos menus variam conforme o fabricante.

Dois padrões merecem atenção. Um aplicativo com nome genérico ou com cara de sistema que tem ao mesmo tempo acessibilidade, acesso a notificações e administração do dispositivo não tem explicação comum. E um Play Protect desativado em um celular cujo dono não o desativou indica que outra pessoa o fez.

O Android 12 e versões posteriores também mostram um indicador na barra de status quando a câmera ou o microfone estão em uso, o que pode revelar uma gravação ao vivo.

O que a análise estática de um APK suspeito estabelece

Quando um analista tem o APK — extraído por um especialista forense como parte de um plano de segurança, nunca pela pessoa afetada no próprio celular; recebido como parte de uma investigação; ou obtido no site de um fornecedor para pesquisa —, a análise estática mostra para que o aplicativo foi construído sem executá-lo.

Nenhuma linha é conclusiva sozinha: aplicativos de controle parental e corporativos usam várias delas. Como em qualquer triagem, o achado é a combinação. O Droidwatch pontua combinações, e não permissões isoladas, mapeia os achados para técnicas do MITRE ATT&CK Mobile e extrai indicadores de rede, que em um caso de stalkerware podem apontar a infraestrutura preparada para receber os dados coletados. O método geral está em como fazer a triagem de um APK suspeito; quando a pergunta é sobre um aplicativo do qual só se conhece o nome de pacote, como identificar um pacote Android desconhecido explica a consulta.

Há dois limites. A análise estática estabelece capacidade, não o que foi coletado de um celular específico. E os envios ao Droidwatch são privados por padrão; um APK que pode ser prova em um caso não deve ir para um serviço que compartilha os envios com terceiros, como mostra o comparativo de ferramentas para analisar APK.

Perguntas frequentes

O que é stalkerware? Software de vigilância instalado no celular de uma pessoa para acompanhar sua localização, suas mensagens e sua atividade sem consentimento, geralmente por alguém próximo que teve acesso físico ao aparelho.

Como saber se tem stalkerware no celular? Revisando onde suas capacidades são concedidas: serviços de acessibilidade, acesso a notificações, apps de administrador do dispositivo, instalação de fontes desconhecidas, permissões de localização, o painel de privacidade e o Play Protect. Um aplicativo desconhecido que reúne várias delas é o sinal mais forte. Bateria e consumo de dados são indícios circunstanciais. Como o celular pode estar sendo monitorado, nada deve ser mudado antes de existir um plano de segurança.

O stalkerware deve ser removido imediatamente? Não antes de um plano de segurança. Removê-lo pode alertar quem o instalou e destrói provas. A Kaspersky e a Coalition Against Stalkerware recomendam procurar primeiro uma organização de apoio.

O stalkerware é permitido no Google Play? Não. Pela política em vigor desde 1º de outubro de 2020, apenas aplicativos de controle parental e de gestão empresarial podem oferecer rastreamento, com notificação persistente e ícone identificável, e não podem ser usados para rastrear mais ninguém.

O Droidwatch consegue dizer se um celular está infectado? Não. O Droidwatch analisa um arquivo APK, não um celular. Com o APK suspeito, ele estabelece para que o aplicativo foi construído e quais endpoints estão presentes no código.