Instalar um único app, sem abrir e sem conceder permissão alguma, basta para deixar um celular Android preso num loop de reinício que só o reset de fábrica resolve, segundo relatório da Bitdefender Labs publicado nesta quinta-feira (5). A falha, batizada de GhostMap, atinge o Android 10 e todas as versões seguintes, incluindo o Android 17 com o patch de agosto, e não tem correção: o Google disse à empresa que o caso está fora do escopo de uma atualização de segurança.
Adicione ao Google NotíciasNeste artigo
Android é o sistema da imensa maioria dos celulares no Brasil, e o custo é concreto. O reset apaga tudo o que está guardado só no aparelho: fotos sem cópia na nuvem, arquivos baixados, conversas do WhatsApp sem backup. A Bitdefender ressalva que não viu a técnica ser usada contra ninguém. O bootloop foi montado pelos próprios pesquisadores, a partir de um defeito que encontraram por acaso.
Como um trojan bancário levou a Bitdefender à falha
Em 12 de agosto, um APK coletado em circulação, um dropper de trojan bancário, derrubou os emuladores que a Bitdefender usa para analisar malware, ainda durante a instalação. O malware nem chegou a rodar. Ao investigar, a equipe concluiu que a culpa estava no próprio Android.
O arquivo vinha embrulhado por um packer, ferramenta comum em malware para Android que reescreve a estrutura interna do APK para atrapalhar a engenharia reversa. A reescrita acabou quebrando o componente que interpreta o app na instalação. Nada indica que o autor do malware soubesse que o arquivo travaria algo, e aquele exemplar só fazia a instalação falhar. A escalada para um ataque persistente, segundo o relatório assinado por Alecsandru Cătălin Daj, foi feita pela própria Bitdefender, que diz não ter visto a técnica "usada contra ninguém".
Por que o Android reinicia sem parar e nem o modo seguro resolve
Um APK é, por dentro, um arquivo ZIP, e cada item declara o método de compressão e o tamanho que terá descomprimido. Duas bibliotecas do sistema leem esse campo de jeitos diferentes. A libziparchive só confere se o tamanho declarado cabe no arquivo quando o item é do tipo stored (sem compressão). A libandroidfw, que carrega recursos, mapeia o item pelo tamanho declarado sempre que ele não for deflated (comprimido). Um item marcado com um terceiro método qualquer cai no vão entre as duas regras, e o Android mapeia memória muito além do fim real do arquivo.
No teste, um APK de 8.408 bytes foi mapeado em cerca de 16 MB. "Ler um item desses causa um SIGBUS em qualquer processo que toque no arquivo", diz o relatório. SIGBUS é o sinal que encerra um processo quando ele tenta ler memória inválida.
O loop nasce quando o item malformado é um recurso pequeno que serviços do sistema leem sozinhos ao percorrer os apps instalados. Esses serviços rodam no system_server, o processo que hospeda a maior parte do Android. Ele cai, reinicia, lê o mesmo arquivo e cai de novo. O celular fica na animação de boot, sem nenhum aviso sobre qual app é o culpado.
Num Pixel 10 com Android 17 e patch de 5 de agosto de 2026, a primeira queda veio cerca de um segundo depois da instalação, e numa das capturas o ciclo se repetiu 110 vezes. O modo seguro não ajuda: o serviço lê o arquivo depois que a opção é acionada, mas antes de ela fazer efeito; foram 72 ciclos nesse modo. A única alternativa ao reset é apagar o arquivo via ADB com um computador, entre uma queda e outra, e só se a depuração USB já estivesse ativada antes. Depois do primeiro reinício completo do kernel, nem isso funciona.
O que um atacante poderia fazer com o GhostMap
A Bitdefender lista usos possíveis e frisa que são teóricos: "Não observamos nenhuma dessas situações na prática". O mais óbvio é a extorsão, com um app falso que inutiliza o aparelho e a ameaça de perda de dados como moeda de troca.
Os outros são mais sutis. Um app malicioso pode malformar o próprio ícone: o celular segue ligado, mas o launcher, a lista de apps nas Configurações e a tela de informações do app travam ao desenhá-lo, e são justamente esses os caminhos para desinstalar. O truque também cega antivírus e sandboxes, que usam o mesmo código do Android para ler o APK; como o SIGBUS é falha nativa, nem um catch (Throwable) segura a queda. Por último, o arquivo malformado poderia chegar numa atualização do app, depois da revisão inicial da loja. Sobre isso, a empresa não dá detalhes.
O defeito não executa código, não lê dados e não ganha permissões. É negação de serviço, e a Bitdefender ainda assim classifica o risco como "significativo".
Google recusou corrigir a falha por boletim de segurança
A Bitdefender reportou a falha duas vezes pelo programa de recompensas do Google para Android. O primeiro relatório, de 20 de agosto, foi fechado como Won't Fix (Not Reproducible). O segundo, de 25 de agosto, trazia prova de conceito e instruções de reprodução. O Google respondeu que o caso não seria resolvido por atualização de segurança e que o encaminhou à equipe responsável para avaliar uma possível inclusão numa versão futura do sistema. Não há data. O BleepingComputer pediu posição ao Google e não teve resposta.
A decisão contrasta com um precedente. Em novembro de 2016, o Google corrigiu a CVE-2016-6724, que deixava um app local reiniciar o aparelho sem parar, e a classificou como Moderada por ser negação de serviço "temporária que exige reset de fábrica para corrigir". Na leitura da Bitdefender, as diretrizes atuais do próprio Google tratariam um caso desses como persistente, de severidade Alta.
O GhostMap entra numa família antiga, a dos parser differentials, em que dois trechos do sistema leem o mesmo arquivo de formas diferentes: Master Key (2013), Janus (2017) e o BadPack, do qual a Unit 42, da Palo Alto Networks, achou cerca de 9.200 amostras em 2024, usadas por trojans bancários como Anatsa e Cerberus. A correção sugerida pela Bitdefender é aceitar só os métodos stored e deflate e rejeitar o resto.
Como se proteger da falha GhostMap enquanto não há correção
Sem patch, a defesa fica com o usuário. A Bitdefender diz que seu antivírus para Android detecta o arquivo como Android.Riskware.Ghostmap.rA e que outras soluções "podem oferecer proteção semelhante". O próprio relatório admite o limite: o Android não deixa um app de terceiros bloquear uma instalação nem remover outro app, e como o app malicioso não precisa ser aberto, sobra pouco tempo para reagir ao aviso. Nenhuma fonte diz se o Play Protect barra o arquivo, e o teste principal foi feito num Pixel 10; a empresa não informou resultados em aparelhos de outras marcas.
- Mantenha backup em dia de fotos, arquivos e conversas do WhatsApp: é o que separa um reset incômodo de uma perda total.
- Evite APK de fora da loja e apps de desenvolvedores desconhecidos.
- Se o celular travar na animação de boot logo após instalar algo, o caminho é o reset de fábrica pelo modo de recuperação.
O Google não disse em qual versão do Android, se em alguma, a correção vai entrar. Até lá, toda versão a partir do Android 10 segue vulnerável no papel.
