--- id: CP-093 slug: sideloading-aplicacoes-fora-das-lojas lang: pt title: O sideloading em telemóveis description: Uma aplicação instalada fora das lojas oficiais pode roubar palavras-passe e SMS. O que o colaborador vê, como funciona e o que fazer. canonical_url: https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «O sideloading em telemóveis», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-071 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas/ fr: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ en: https://startbrain.io/cyberpedia/en/articles/mobile-app-sideloading/ de: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ es: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ it: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ nl: https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/ sources: - "n": 1 title: Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1444/ accessed: "2026-11-03" - "n": 2 title: Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1475/ accessed: "2026-11-03" - "n": 3 title: Cerberus, Software S0480 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0480/ accessed: "2026-11-03" - "n": 4 title: "Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/002/ accessed: "2026-11-03" - "n": 5 title: Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1626/ accessed: "2026-11-03" - "n": 6 title: Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1628/ accessed: "2026-11-03" - "n": 7 title: Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/ accessed: "2026-11-03" - "n": 8 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 9 title: BusyGasper, Software S0655 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0655/ accessed: "2026-11-03" - "n": 10 title: Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1409/ accessed: "2026-11-03" --- # O sideloading em telemóveis Num telemóvel profissional ou pessoal, as aplicações vêm normalmente de uma loja oficial, como a Google Play ou a App Store. Nesta ficha, o sideloading designa a instalação de uma aplicação por outra via que não essa loja. Como os telemóveis estão muitas vezes configurados para aceitar apenas a loja autorizada [2], o atacante tem de convencer a vítima a sair desse quadro. A MITRE descreve o método: distribuir software malicioso fazendo-o passar por uma aplicação legítima [1]. Esta ficha segue o ponto de vista do colaborador. As fontes do dossiê são fichas técnicas da MITRE ATT&CK. Descrevem os métodos dos atacantes no Android e no iOS, mas não contêm estatísticas sobre o sideloading. ## Em 30 segundos - Onde acontece: num site que pede para instalar um programa, como um falso instalador [3], e num aparelho a que o atacante tem acesso físico [9]. - O que quer o atacante: fazer instalar uma aplicação armadilhada e depois obter para ela permissões alargadas, para roubar credenciais e dados de mensagens [3][4][9]. - O reflexo: instalar apenas a partir da loja oficial e recusar qualquer pedido de acessibilidade ou de administrador do dispositivo que não tenha sido o próprio a procurar. - Se já aconteceu: avisar o suporte informático sem demora e não introduzir nenhuma palavra-passe nesse telemóvel. ## Perguntas diretas ### O que é o sideloading? É a instalação de uma aplicação sem passar pela loja autorizada do aparelho. A MITRE observa que os telemóveis estão muitas vezes configurados para só aceitar instalações a partir de uma loja autorizada, como a Google Play Store ou a Apple App Store [2]. Um atacante que não consiga colocar lá a sua aplicação tem de convencer a vítima a obtê-la noutro sítio. ### A loja oficial protege por completo? Não por completo: a MITRE descreve também o caso em que o atacante tenta colocar a aplicação maliciosa numa loja autorizada, o que permite instalá-la nos aparelhos visados [2]. As duas páginas da MITRE sobre este tema têm um aviso de descontinuação, mas o seu conteúdo descreve de facto estas duas vias [1][2]. ### Como é que um colaborador é levado a instalar a aplicação? As fontes descrevem dois ardis. O primeiro consiste em fazer passar o software por uma aplicação legítima, integrando-o numa aplicação verdadeira ou imitando o seu aspeto [1]. O segundo passa por um site que convida a instalar um programa conhecido: o cavalo de Troia Cerberus foi distribuído por sites que incitavam o utilizador a "install Adobe Flash Player" e descarregavam um APK malicioso [3]. ### Que autorizações pede a aplicação? As fontes citam os direitos de acessibilidade e de administrador do dispositivo. Aplicações maliciosas abusam da acessibilidade do Android para saber que aplicação está em primeiro plano [4]. Quanto aos direitos de administrador, a MITRE observa que as aplicações muito raramente precisam deles e aconselha os programadores a não recorrer a este nível de acesso [5]. ### A aplicação instalada continua visível? Não necessariamente. A MITRE explica que os sistemas móveis têm interfaces para ocultar elementos, como o ícone de uma aplicação, e que os atacantes as desviam do seu uso [6]. A ficha sobre a captura de entradas pede aos utilizadores que desconfiem de permissões perigosas, como o acesso à acessibilidade [7]. Outros atacantes exploram falhas do sistema para obter direitos mais elevados [8]. ### É preciso acesso físico ao aparelho para o infetar? No caso documentado do BusyGasper, sim: este software espião infetou as vítimas por acesso físico ao aparelho [9]. ## Na pele do atacante O atacante tem um obstáculo: o aparelho está muitas vezes configurado para aceitar apenas a loja autorizada [2]. Precisa de um pretexto credível, e as fontes dão um: o nome e o aspeto de uma aplicação conhecida [4]. No caso do Cerberus, é um falso instalador do Adobe Flash Player [3]. Depois de a aplicação estar instalada, o primeiro objetivo é obter permissões. O Cerberus consegue injetar entradas para se conceder permissões adicionais sem interação do utilizador e para impedir a remoção da aplicação [3]. Seguem-se a recolha e a discrição: o atacante quer ler os SMS, obter os contactos e a lista de aplicações e depois mostrar ecrãs falsos por cima das aplicações que escolheu [3]. As fontes descrevem também atacantes que visam o próprio sistema. Alguns exploram falhas do sistema operativo para passar de um nível de acesso limitado a direitos de superutilizador (root) [8]. A MITRE cita o Pegasus para Android, que tenta explorar falhas conhecidas do Android, e o Pegasus para iOS, que explora falhas do iOS [8]. ## O que vê no ecrã A vítima vê primeiro a página ou a mensagem que a convida a instalar um programa. As fontes do dossiê não descrevem o aviso de instalação do aparelho: essa etapa não é, por isso, detalhada aqui. Depois da instalação, os sinais são raros, por construção. A MITRE explica que os sistemas móveis oferecem interfaces para ocultar elementos, como o ícone de uma aplicação, e que essas interfaces têm usos legítimos que os atacantes desviam [6]. O Cerberus esconde o seu ícone do menu de aplicações depois do primeiro arranque [3]. O BusyGasper reduz o brilho do ecrã ao mínimo e corta o som quando está ativo [9]. O sinal mais visível é um falso pedido de introdução de dados. A MITRE explica que aplicações maliciosas imitam elementos da interface do sistema para pedir informações sensíveis, e que o tamanho reduzido do ecrã de um telemóvel dificulta a verificação do contexto [4]. Podem também enviar notificações falsas que abrem um pedido quando se toca nelas [4]. Por fim, um pedido pode aparecer por cima de uma aplicação legítima [4]. ## Por baixo do capô As fontes descrevem primeiro a sobreposição e a acessibilidade, depois a persistência. - A sobreposição: a aplicação desenha uma janela por cima de outra. Tem de possuir a autorização SYSTEM_ALERT_WINDOW, que a MITRE diz ser concedida automaticamente, pelo menos em certas condições, às aplicações instaladas a partir da Google Play [4]. O Android 10 limita o lançamento de uma atividade por cima de outra aplicação [4]. O Android 12 acrescenta a autorização HIDE_OVERLAY_WINDOWS, que permite ocultar essas janelas [7]. - A acessibilidade: um desvio permite saber que aplicação está em primeiro plano [4]. A MITRE refere também aplicações que registam as teclas premidas ou captam informações sobre os gestos no ecrã [7]. - A persistência: o Cerberus desativa o Google Play Protect para evitar ser descoberto e removido mais tarde [3]. Pode atualizar o seu código por comando [3]. A MITRE esclarece ainda que o isolamento das aplicações limita o acesso aos dados de outra aplicação, exceto em três casos: armazenamento externo não protegido, armazenamento interno com permissões pouco seguras ou obtenção de direitos root [10]. ## Autópsias ### Cerberus, cavalo de Troia bancário alugado O Cerberus é um cavalo de Troia bancário para Android cuja utilização é alugada em fóruns clandestinos [3]. Os seus autores afirmam tê-lo usado em privado durante dois anos antes de o pôr a alugar [3]. As referências da ficha da MITRE incluem um relatório da ThreatFabric de agosto de 2019 e um artigo de 16 de agosto de 2019 sobre falsos instaladores do Adobe Flash Player [3]. O software podia ler SMS, obter os contactos e a lista de aplicações, gerar notificações falsas e lançar ataques de sobreposição contra as aplicações escolhidas pelo atacante [3]. ### BusyGasper, software espião (desde maio de 2016) O BusyGasper é um software espião para Android utilizado desde maio de 2016 [9]. Conhecem-se menos de dez vítimas, todas aparentemente na Rússia e todas infetadas por acesso físico ao aparelho [9]. Pode gravar o som e a câmara, copiar as fotografias e o histórico do navegador, ler SMS e dados do WhatsApp, do Viber e do Facebook [9]. A referência da ficha é um artigo de Alexey Firsh de 29 de agosto de 2018 [9]. ## O que deve fazer - Instale apenas a partir da loja oficial do aparelho. Um convite para descarregar um ficheiro ou um "instalador" num site é suspeito, mesmo para um programa conhecido [3]. - Recuse os direitos de acessibilidade, de teclado ou de administrador que uma aplicação peça sem motivo claro. A MITRE aconselha o utilizador a desconfiar de permissões perigosas ou intrusivas, como o registo de um teclado ou o acesso à acessibilidade [7]. - Mantenha o telemóvel bloqueado e à mão: um caso documentado começa por um acesso físico [9]. - Atualize o sistema: algumas proteções, como as restrições do Android 10 e do Android 12, dependem da versão [4][7]. - Num aparelho gerido, a empresa pode limitar os serviços de acessibilidade autorizados através de uma lista explícita, com uma ferramenta de gestão de dispositivos (EMM ou MDM) [7]. ## As armadilhas A loja oficial não é uma garantia total [2]. Uma aplicação maliciosa pode também esconder o seu ícone, pelo que a ausência de um ícone suspeito não prova nada [6]. A MITRE escreve que este tipo de técnica não se combate facilmente com controlos preventivos, uma vez que abusa de funções do sistema [6]. Uma definição de segurança que muda sem a sua intervenção é um sinal: o Cerberus desativa o Google Play Protect [3]. Nesse caso, ou se uma aplicação desconhecida pedir permissões alargadas, contacte o suporte. ## Fontes 1. MITRE ATT&CK, «Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1444/ (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1475/ (consultado em 3 de novembro de 2026) 3. MITRE ATT&CK, «Cerberus, Software S0480 | MITRE ATT&CK®». https://attack.mitre.org/software/S0480/ (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/002/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1626/ (consultado em 3 de novembro de 2026) 6. MITRE ATT&CK, «Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1628/ (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/ (consultado em 3 de novembro de 2026) 8. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultado em 3 de novembro de 2026) 9. MITRE ATT&CK, «BusyGasper, Software S0655 | MITRE ATT&CK®». https://attack.mitre.org/software/S0655/ (consultado em 3 de novembro de 2026) 10. MITRE ATT&CK, «Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1409/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.