Cyberpediapor Brain
PTDEENESFRITNL

O sideloading em telemóveis

Uma aplicação instalada fora das lojas oficiais pode roubar palavras-passe e SMS. O que o colaborador vê, como funciona e o que fazer.

Em 30 segundos

Onde acontece
Num site que pede para instalar um programa, como um falso instalador3, e num aparelho a que o atacante tem acesso físico9.
O que quer o atacante
Fazer instalar uma aplicação armadilhada e depois obter para ela permissões alargadas, para roubar credenciais e dados de mensagens349.
O reflexo
Instalar apenas a partir da loja oficial e recusar qualquer pedido de acessibilidade ou de administrador do dispositivo que não tenha sido o próprio a procurar.
Se já aconteceu
Avisar o suporte informático sem demora e não introduzir nenhuma palavra-passe nesse telemóvel.

Do que se trata

Num telemóvel profissional ou pessoal, as aplicações vêm normalmente de uma loja oficial, como a Google Play ou a App Store. Nesta ficha, o sideloading designa a instalação de uma aplicação por outra via que não essa loja. Como os telemóveis estão muitas vezes configurados para aceitar apenas a loja autorizada2, o atacante tem de convencer a vítima a sair desse quadro. A MITRE descreve o método: distribuir software malicioso fazendo-o passar por uma aplicação legítima1.

Esta ficha segue o ponto de vista do colaborador. As fontes do dossiê são fichas técnicas da MITRE ATT&CK. Descrevem os métodos dos atacantes no Android e no iOS, mas não contêm estatísticas sobre o sideloading.

Perguntas diretas

O que é o sideloading?

É a instalação de uma aplicação sem passar pela loja autorizada do aparelho. A MITRE observa que os telemóveis estão muitas vezes configurados para só aceitar instalações a partir de uma loja autorizada, como a Google Play Store ou a Apple App Store2. Um atacante que não consiga colocar lá a sua aplicação tem de convencer a vítima a obtê-la noutro sítio.

A loja oficial protege por completo?

Não por completo: a MITRE descreve também o caso em que o atacante tenta colocar a aplicação maliciosa numa loja autorizada, o que permite instalá-la nos aparelhos visados2. As duas páginas da MITRE sobre este tema têm um aviso de descontinuação, mas o seu conteúdo descreve de facto estas duas vias12.

Como é que um colaborador é levado a instalar a aplicação?

As fontes descrevem dois ardis. O primeiro consiste em fazer passar o software por uma aplicação legítima, integrando-o numa aplicação verdadeira ou imitando o seu aspeto1. O segundo passa por um site que convida a instalar um programa conhecido: o cavalo de Troia Cerberus foi distribuído por sites que incitavam o utilizador a "install Adobe Flash Player" e descarregavam um APK malicioso3.

Que autorizações pede a aplicação?

As fontes citam os direitos de acessibilidade e de administrador do dispositivo. Aplicações maliciosas abusam da acessibilidade do Android para saber que aplicação está em primeiro plano4. Quanto aos direitos de administrador, a MITRE observa que as aplicações muito raramente precisam deles e aconselha os programadores a não recorrer a este nível de acesso5.

A aplicação instalada continua visível?

Não necessariamente. A MITRE explica que os sistemas móveis têm interfaces para ocultar elementos, como o ícone de uma aplicação, e que os atacantes as desviam do seu uso6. A ficha sobre a captura de entradas pede aos utilizadores que desconfiem de permissões perigosas, como o acesso à acessibilidade7. Outros atacantes exploram falhas do sistema para obter direitos mais elevados8.

É preciso acesso físico ao aparelho para o infetar?

No caso documentado do BusyGasper, sim: este software espião infetou as vítimas por acesso físico ao aparelho9.

1Na pele do atacante1 min

O atacante tem um obstáculo: o aparelho está muitas vezes configurado para aceitar apenas a loja autorizada2. Precisa de um pretexto credível, e as fontes dão um: o nome e o aspeto de uma aplicação conhecida4. No caso do Cerberus, é um falso instalador do Adobe Flash Player3.

Depois de a aplicação estar instalada, o primeiro objetivo é obter permissões. O Cerberus consegue injetar entradas para se conceder permissões adicionais sem interação do utilizador e para impedir a remoção da aplicação3. Seguem-se a recolha e a discrição: o atacante quer ler os SMS, obter os contactos e a lista de aplicações e depois mostrar ecrãs falsos por cima das aplicações que escolheu3.

As fontes descrevem também atacantes que visam o próprio sistema. Alguns exploram falhas do sistema operativo para passar de um nível de acesso limitado a direitos de superutilizador (root)8. A MITRE cita o Pegasus para Android, que tenta explorar falhas conhecidas do Android, e o Pegasus para iOS, que explora falhas do iOS8.

2O que vê no ecrã1 min

A vítima vê primeiro a página ou a mensagem que a convida a instalar um programa. As fontes do dossiê não descrevem o aviso de instalação do aparelho: essa etapa não é, por isso, detalhada aqui.

Depois da instalação, os sinais são raros, por construção. A MITRE explica que os sistemas móveis oferecem interfaces para ocultar elementos, como o ícone de uma aplicação, e que essas interfaces têm usos legítimos que os atacantes desviam6. O Cerberus esconde o seu ícone do menu de aplicações depois do primeiro arranque3. O BusyGasper reduz o brilho do ecrã ao mínimo e corta o som quando está ativo9.

O sinal mais visível é um falso pedido de introdução de dados. A MITRE explica que aplicações maliciosas imitam elementos da interface do sistema para pedir informações sensíveis, e que o tamanho reduzido do ecrã de um telemóvel dificulta a verificação do contexto4. Podem também enviar notificações falsas que abrem um pedido quando se toca nelas4. Por fim, um pedido pode aparecer por cima de uma aplicação legítima4.

3Por baixo do capôEquipas de TI1 min

As fontes descrevem primeiro a sobreposição e a acessibilidade, depois a persistência.

  • A sobreposição: a aplicação desenha uma janela por cima de outra. Tem de possuir a autorização SYSTEM_ALERT_WINDOW, que a MITRE diz ser concedida automaticamente, pelo menos em certas condições, às aplicações instaladas a partir da Google Play4. O Android 10 limita o lançamento de uma atividade por cima de outra aplicação4. O Android 12 acrescenta a autorização HIDE_OVERLAY_WINDOWS, que permite ocultar essas janelas7.
  • A acessibilidade: um desvio permite saber que aplicação está em primeiro plano4. A MITRE refere também aplicações que registam as teclas premidas ou captam informações sobre os gestos no ecrã7.
  • A persistência: o Cerberus desativa o Google Play Protect para evitar ser descoberto e removido mais tarde3. Pode atualizar o seu código por comando3.

A MITRE esclarece ainda que o isolamento das aplicações limita o acesso aos dados de outra aplicação, exceto em três casos: armazenamento externo não protegido, armazenamento interno com permissões pouco seguras ou obtenção de direitos root10.

4AutópsiasCasos reais1 min

Cerberus, cavalo de Troia bancário alugado

O Cerberus é um cavalo de Troia bancário para Android cuja utilização é alugada em fóruns clandestinos3. Os seus autores afirmam tê-lo usado em privado durante dois anos antes de o pôr a alugar3. As referências da ficha da MITRE incluem um relatório da ThreatFabric de agosto de 2019 e um artigo de 16 de agosto de 2019 sobre falsos instaladores do Adobe Flash Player3. O software podia ler SMS, obter os contactos e a lista de aplicações, gerar notificações falsas e lançar ataques de sobreposição contra as aplicações escolhidas pelo atacante3.

BusyGasper, software espião (desde maio de 2016)

O BusyGasper é um software espião para Android utilizado desde maio de 20169. Conhecem-se menos de dez vítimas, todas aparentemente na Rússia e todas infetadas por acesso físico ao aparelho9. Pode gravar o som e a câmara, copiar as fotografias e o histórico do navegador, ler SMS e dados do WhatsApp, do Viber e do Facebook9. A referência da ficha é um artigo de Alexey Firsh de 29 de agosto de 20189.

5O que deve fazer1 min
  • Instale apenas a partir da loja oficial do aparelho. Um convite para descarregar um ficheiro ou um "instalador" num site é suspeito, mesmo para um programa conhecido3.
  • Recuse os direitos de acessibilidade, de teclado ou de administrador que uma aplicação peça sem motivo claro. A MITRE aconselha o utilizador a desconfiar de permissões perigosas ou intrusivas, como o registo de um teclado ou o acesso à acessibilidade7.
  • Mantenha o telemóvel bloqueado e à mão: um caso documentado começa por um acesso físico9.
  • Atualize o sistema: algumas proteções, como as restrições do Android 10 e do Android 12, dependem da versão47.
  • Num aparelho gerido, a empresa pode limitar os serviços de acessibilidade autorizados através de uma lista explícita, com uma ferramenta de gestão de dispositivos (EMM ou MDM)7.
6As armadilhas1 min

A loja oficial não é uma garantia total2. Uma aplicação maliciosa pode também esconder o seu ícone, pelo que a ausência de um ícone suspeito não prova nada6. A MITRE escreve que este tipo de técnica não se combate facilmente com controlos preventivos, uma vez que abusa de funções do sistema6.

Uma definição de segurança que muda sem a sua intervenção é um sinal: o Cerberus desativa o Google Play Protect3. Nesse caso, ou se uma aplicação desconhecida pedir permissões alargadas, contacte o suporte.

Ficha

Identificador
CP-093
Ala
1. Ataques e técnicas
Competência Brain
Proteger os dispositivos (secure_devices)
Reflexo Brain
cr-071
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr, it, nl, pt
Fontes
10 fontes verificadas em 3 de novembro de 2026
Fontes10 fontes
  1. MITRE ATT&CK, «Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1444/ (consultado em 3 de novembro de 2026)
  2. MITRE ATT&CK, «Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1475/ (consultado em 3 de novembro de 2026)
  3. MITRE ATT&CK, «Cerberus, Software S0480 | MITRE ATT&CK®». https://attack.mitre.org/software/S0480/ (consultado em 3 de novembro de 2026)
  4. MITRE ATT&CK, «Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/002/ (consultado em 3 de novembro de 2026)
  5. MITRE ATT&CK, «Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1626/ (consultado em 3 de novembro de 2026)
  6. MITRE ATT&CK, «Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1628/ (consultado em 3 de novembro de 2026)
  7. MITRE ATT&CK, «Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1417/ (consultado em 3 de novembro de 2026)
  8. MITRE ATT&CK, «Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1404/ (consultado em 3 de novembro de 2026)
  9. MITRE ATT&CK, «BusyGasper, Software S0655 | MITRE ATT&CK®». https://attack.mitre.org/software/S0655/ (consultado em 3 de novembro de 2026)
  10. MITRE ATT&CK, «Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1409/ (consultado em 3 de novembro de 2026)

Citar este artigo

Brain, «O sideloading em telemóveis», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas/

BibTeX 
@misc{brain_cp093_pt_2026,
  author = {Brain},
  title = {O sideloading em telemóveis},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas/},
  note = {CC BY 4.0}
}
Licença CC BY 4.0