App para Android baixado 10 milhões de vezes infecta celulares

Aplicativo para ler QR Code e código de barras estava na Play Store há anos, mas foi removido após adicionar código malicioso

Por Victor Hugo Silva

há 3 anos e 2 meses • Atualizado há 2 anos e 4 meses

Barcode Scanner tinha 10 milhões de downloads no Android (Imagem: Reprodução/Malwarebytes)

Apesar dos mecanismos de segurança, a Play Store tem brechas que permitem aplicativos com práticas indevidas. É o caso do Barcode Scanner, leitor de código de barras baixado mais de 10 milhões de vezes. A ferramenta, que fez parte do Play Pass, era oferecida na loja do Google há anos, mas foi removida porque adicionou um código que força a exibição de anúncios.

O adware foi encontrado em dezmebro pela empresa de segurança Malwarebytes, após seus usuários relatarem a abertura inesperada de anúncios no navegador. Inicialmente, a análise se concentrou em buscar aplicativos que haviam sido instalados recentemente ou baixados de lojas não-oficiais.

A investigação não encontrou nenhuma dessas situações junto aos usuários e, só depois, identificou que todos contavam com o Barcode Scanner. Segundo a empresa de segurança, uma atualização realizada em 4 de dezembro mudou o código do aplicativo para infectar os celulares com o código que mostra anúncios invasivos.

Adware do Barcode Scanner (Imagem: Reprodução/Malwarebytes)

O pesquisador da Malwarebytes, Nathan Collier, afirma que muitos desenvolvedores usam kits de desenvolvimento de software (SDK, na sigla em inglês) para monetizar seus apps com anúncios. Os SDKs são oferecidos por outras empresas, que podem mudar seu código sem o conhecimento dos criadores do app.

Porém, este não era o caso do Barcode Scanner, que teve o adware adicionado pelo seu proprietário. “O código malicioso que foi adicionado não estava nas versões anteriores do aplicativo. Além disso, o código adicionado usou ofuscação pesada para evitar a detecção”, afirmou Collier.

Uma versão arquivada da página do aplicativo na Play Store indica que ele ganhou novo proprietário de novembro a dezembro de 2020. O leitor de código de barras passou a ser gerenciado pela Lavabird LTD. A mudança na administração pode explicar o fato do app ser legítimo por anos e, após muito tempo, passar a incluir um adware.

Google removeu Barcode Scanner

Depois de descobrir que o Barcode Scanner passou a ter código malicioso, a Malwarebytes denunciou o aplicativo. Ele foi removido da Play Store, mas segue nos celulares de usuários que o haviam instalado. Segundo a empresa de segurança, o Google Play Protect não foi utilizado para desinstalar o app malicioso dos smartphones em que ele estava presente.

Até que isso aconteça, os usuários que baixaram o Barcode Scanner precisam remover o aplicativo por conta própria. O Google também manteve ativa a conta da Lavabird LTD, nova proprietária do app que continua oferecendo outros aplicativos na Play Store.

Com informações: Ars Technica, Android Police.