Como remover malware do Android (8 passos, reposição de fábrica no fim)

Resposta rápida: a maior parte do malware Android remove-se sem reposição de fábrica. Reinicie em Modo de segurança para que as apps de terceiros deixem de correr, encontre a app que chegou quando os problemas começaram, retire-lhe as permissões que a deixam resistir à remoção (administrador do dispositivo, Acessibilidade, mostrar sobre outras aplicações), desinstale-a, limpe o navegador e depois execute o Google Play Protect e um scanner de confiança da Play Store. Mude as palavras-passe que escreveu enquanto ela estava ativa. Guarde a reposição de fábrica para o fim, e leia a nota sobre os telemóveis baratos cujo malware vem no firmware antes de contar com ela.

O malware Android raramente é um “vírus” espetacular. Na maioria dos casos trata-se de adware, apps utilitárias falsas e SDKs de publicidade agressivos que chegam através de apps instaladas fora da Play Store, APKs pirateados ou um link numa mensagem de texto. A minoria mais perigosa são os cavalos de Troia bancários, que pedem a permissão de Acessibilidade para poderem ler o seu ecrã e escrever por si. Ambos os tipos removem-se da mesma forma, porque o Android lhe dá duas ferramentas que um PC não tem: um modo de arranque que desativa todas as apps que instalou, e ecrãs de permissões que mostram exatamente o que cada app estava autorizada a fazer.

Triagem em 60 segundos: em que caso está?

Sinais de que o seu Android pode estar infetado

• Surgem anúncios pop-up fora de qualquer app, no ecrã inicial ou no ecrã de bloqueio, ou abrem-se anúncios em ecrã inteiro sem origem evidente.
• O navegador redireciona constantemente para páginas que não pediu, ou a sua página inicial ou motor de busca mudou sozinho.
• A bateria esgota-se e o consumo de dados móveis dispara sem qualquer alteração na forma como usa o telemóvel.
• Apps que não se lembra de ter instalado aparecem na gaveta de apps, por vezes com ícones em branco ou genéricos.
• Uma app pediu acesso de Acessibilidade ou para se tornar administrador do dispositivo logo depois de a instalar.
• O seu banco ou a Google enviam códigos de início de sessão ou alertas de “novo início de sessão” que não provocou, ou saem do seu telemóvel mensagens de texto que nunca escreveu.
• Uma app continua a reaparecer depois de a eliminar.

Qualquer um destes sinais pode ser inofensivo. Vários em conjunto costumam significar que há adware ou uma app maliciosa a correr. Se tem sobretudo os sintomas de bateria e aquecimento, leia primeiro O meu telemóvel foi pirateado?, porque esses dois são os menos conclusivos de todos.

Passo 1 - Reiniciar em Modo de segurança

O Modo de segurança arranca o Android com apenas as apps que vieram com o telemóvel. Tudo o que instalou fica temporariamente desativado, por isso o malware não consegue bloquear a app Definições, desenhar um ecrã por cima dela nem reinstalar-se enquanto trabalha.

1. Mantenha premido o botão ligar/desligar (nos Samsung e Pixel recentes, prima ligar/desligar + volume para baixo em simultâneo, porque uma pressão curta no botão ligar/desligar abre o assistente).
2. Toque e mantenha “Desligar” até aparecer o aviso “Reiniciar em modo de segurança”, e confirme.
3. O telemóvel reinicia com “Modo de segurança” mostrado num canto do ecrã.

Se os pop-ups e a lentidão pararem em Modo de segurança, é quase certo que a causa é uma app transferida. O Modo de segurança não apaga nada: quando terminar, um reinício normal traz todas as apps de volta, e é por isso que desinstala a culpada antes de sair dele.

Passo 2 - Encontrar a app responsável

Adivinhar é perder tempo. O Android mantém três listas que apontam para a culpada.

• Instaladas recentemente. Abra Definições → Aplicações → Ver todas as aplicações. Na maioria dos telemóveis, o menu de três pontos (⋮) permite ordenar ou filtrar por data de instalação. Tudo o que foi instalado nos dias anteriores ao início dos problemas vai para o topo da sua lista de suspeitas.
• Bateria e dados. Definições → Bateria → Utilização da bateria e Definições → Rede e Internet (Samsung: Ligações) → Utilização de dados ordenam as apps por consumo. Uma app que nunca abre e que aparece perto do topo é um sinal forte.
• Quem está autorizado a instalar apps. Definições → Aplicações → Acesso especial a aplicações → Instalar aplicações desconhecidas lista todas as apps a que alguma vez permitiu instalar outras apps. Um gestor de ficheiros, uma app de mensagens ou um “downloader” com esse interruptor ligado foi a porta de entrada do malware, e pode instalar a carga seguinte. Desligue o interruptor para tudo o que não precise mesmo dele.

Apps falsas de “limpeza”, “poupança de bateria”, “leitor de QR”, “lanterna”, “atualização do sistema” e “atualização do Chrome” são os disfarces habituais. Se tiver dúvidas sobre um nome, pesquise-o a partir de outro dispositivo antes de o remover.

Passo 3 - Desinstalar as apps suspeitas

Ainda em Modo de segurança, abra Definições → Aplicações, toque na app suspeita e depois em Desinstalar. Percorra a sua lista de suspeitas uma app de cada vez. Se o botão Desinstalar estiver a cinzento ou a app reaparecer, passe ao Passo 4; é para isso que ele serve.

Passo 4 - Não consegue desinstalá-la? Retire as permissões atrás das quais se esconde

O malware sobrevive à remoção segurando uma ou mais de quatro permissões. Retire-as por esta ordem e depois volte a Definições → Aplicações e desinstale.

1. Administrador do dispositivo. Abra Definições e procure Aplicações de administração do dispositivo (muitas vezes em Segurança → Mais definições de segurança). Desligue o interruptor junto à app suspeita. É o truque clássico que deixa o botão Desinstalar a cinzento.
2. Acessibilidade. Abra Definições → Acessibilidade e veja em Aplicações transferidas (Samsung: Aplicações instaladas). Uma app com um serviço de Acessibilidade ligado consegue ler tudo o que está no seu ecrã, tocar em botões e preencher campos, que é exatamente a forma como cavalos de Troia bancários como o Rokarolla vencem a app do seu banco. Desligue todos os serviços que não reconhece.
3. Mostrar sobre outras aplicações. Definições → Aplicações → Acesso especial a aplicações → Mostrar sobre outras aplicações. É isto que permite a um ecrã de login falso aparecer por cima do verdadeiro. Revogue-o para tudo o que não concedeu de forma consciente.
4. Acesso a notificações. Definições → Aplicações → Acesso especial a aplicações → Acesso a notificações (ou Notificações de dispositivos e aplicações). Uma app aqui consegue ler os seus códigos de verificação por SMS à medida que chegam. Desligue as entradas desconhecidas.

Desde o Android 13, as apps instaladas fora de uma loja de aplicações ficam bloqueadas nos ecrãs de Acessibilidade e de acesso a notificações por uma funcionalidade chamada Definições restritas: os interruptores ficam simplesmente a cinzento até abrir a página de informações da app e escolher “Permitir definições restritas” no respetivo menu. Por isso o malware guia-o, com instruções no ecrã, a fazer exatamente isso. Se se lembra de ter seguido instruções desse tipo, encontrou a sua app.

Passo 5 - Limpar o navegador

O adware vive muitas vezes no navegador e não numa app separada, e um site onde um dia tocou em “Permitir” pode inundá-lo de notificações que parecem alertas do sistema. No Chrome (ou no navegador que usar):

• Abra Definições → Definições do site → Notificações e bloqueie todos os sites que não reconhece. Este único ecrã resolve a maioria dos pop-ups de “aviso de vírus” no Android.
• Limpe a cache e os cookies (Definições → Privacidade e segurança → Limpar dados de navegação).
• Reponha a sua página inicial e o motor de busca predefinido se mudaram.
• Verifique Definições → Aplicações → Aplicações predefinidas → Aplicação de navegador: o adware instala por vezes o seu próprio navegador e define-o como predefinido, para que os links abram lá.

Passo 6 - Executar o Google Play Protect e um scanner de confiança

Reinicie normalmente e deixe o scanner integrado do Android fazer uma passagem:

1. Abra a Google Play Store, toque no ícone do seu perfil e escolha Play Protect.
2. Toque em Analisar. O Play Protect verifica as apps instaladas, incluindo as de fontes externas, e propõe desativar ou remover o que assinalar. Ative “Analisar apps com o Play Protect” e “Melhorar a deteção de apps prejudiciais” para que também envie as apps desconhecidas de fontes externas à Google para análise. Nos telemóveis Pixel com Android 15 ou posterior, a deteção de ameaças em tempo real do Play Protect observa também como as apps instaladas se comportam, e não apenas o que contêm.

Para uma segunda opinião, instale uma app anti-malware conhecida apenas a partir da Play Store, como o Malwarebytes ou o Bitdefender, execute uma análise completa e remova o que ela assinalar. Fique por nomes que já conhece: uma pesquisa por “antivírus” em qualquer loja de apps devolve dezenas de apps que são, elas próprias, adware.

Passo 7 - Proteger as contas a que o malware pode ter chegado

Remover a app não desfaz o que ela viu. Faça isto a partir do telemóvel já limpo ou, melhor ainda, de um computador:

• Mude a palavra-passe da sua conta Google e execute a Verificação de segurança da Google: termine a sessão nos dispositivos desconhecidos, remova as apps de terceiros que não reconhece em “Acesso de terceiros” e confirme que o telefone e o email de recuperação são seus.
• Mude todas as palavras-passe que escreveu no telemóvel enquanto o malware estava ativo, a começar pelo banco, pelo email e por qualquer conta que receba códigos por SMS. Ative a verificação em dois passos com uma app de autenticação em vez de SMS sempre que o serviço o permitir.
• Verifique o seu banco. Se uma app bancária se comportou de forma estranha ou recebeu códigos de verificação que não pediu, ligue ao banco, reveja os movimentos recentes e pergunte se foi registado um novo dispositivo ou um novo beneficiário.
• Veja o reencaminhamento de mensagens. Na sua app de SMS e na sua conta de email, confirme que não foi adicionada nenhuma regra de reencaminhamento nem nenhum dispositivo associado. O reencaminhamento sobrevive a qualquer limpeza do telemóvel, e é por isso que os atacantes persistentes o colocam aí.

Passo 8 - Último recurso: faça cópia de segurança e depois reponha de fábrica

Se os pop-ups continuarem a voltar, uma app se reinstalar sozinha ou as análises continuarem a assinalar a mesma ameaça, uma reposição de fábrica devolve o telemóvel a um estado limpo.

• Primeiro faça cópia de segurança de fotos, contactos e ficheiros importantes para a sua conta Google ou para um computador. Não restaure uma cópia que inclua a app infetada.
• Depois vá a Definições → Sistema → Opções de reposição → Apagar todos os dados (reposição de fábrica) (Samsung: Definições → Gestão geral → Repor → Repor dados de fábrica).
• Ao voltar a configurar o telemóvel, reinstale as apps uma a uma a partir da Play Store. Salte a opção “restaurar todas as apps”, que traria o malware diretamente de volta.

Um aviso honesto. Uma reposição de fábrica apaga a partição de dados, não a partição do sistema. Em alguns telemóveis Android e boxes de TV baratos e sem marca, já foi encontrado malware pré-instalado no próprio firmware; a própria equipa de segurança da Google documentou a família Triada a fazer exatamente isso em 2019. Uma infeção dessas regressa depois de uma reposição porque a reposição nunca lhe tocou. Se um telemóvel mostra os mesmos sintomas logo após uma reposição limpa, sem nenhuma app instalada, a solução é uma atualização de firmware do fabricante ou, sendo realistas, outro telemóvel.

Como impedir que volte

Perguntas frequentes

O Android precisa de uma app antivírus? Não necessariamente. O Google Play Protect está integrado e analisa as apps automaticamente. Um scanner a pedido de confiança, da Play Store, é uma segunda opinião útil se instala apps de fontes externas ou já suspeita de uma infeção. Veja Preciso de um antivírus? para a resposta mais longa.

O Modo de segurança apaga alguma coisa? Não. O Modo de segurança apenas impede as apps de terceiros de correr durante essa sessão. As suas apps e dados ficam intactos, e um reinício normal traz tudo de volta, incluindo o malware se não o tiver desinstalado.

Como sei qual é a app que causa os pop-ups? Verifique o que foi instalado pouco antes de os problemas começarem, quais as apps no topo das listas de utilização de bateria e de dados, e quais as apps com direitos de Acessibilidade ou de mostrar sobre outras aplicações. Uma app que aparece em duas dessas listas e que não se lembra de ter instalado é a culpada.

Uma reposição de fábrica remove todo o malware? Uma reposição de fábrica remove todas as apps e todos os dados que instalou, o que elimina a grande maioria do malware Android. As exceções são o malware pré-instalado no firmware de alguns dispositivos baratos, e o malware que o próprio utilizador traz de volta ao restaurar uma cópia de segurança completa das apps. Reinstale as apps uma a uma a partir da Play Store.

Posso apanhar malware só por visitar um site? Um site não consegue instalar silenciosamente uma app num telemóvel Android atualizado, mas pode mostrar pop-ups falsos de “o seu telemóvel está infetado”, enviar notificações disfarçadas de alertas do sistema ou levá-lo a transferir um APK. Não instale nada que uma página web o empurre a transferir, e bloqueie as notificações desse site no navegador.

Porque está o botão Desinstalar a cinzento? A app recebeu direitos de administrador do dispositivo. Revogue-os em Definições → Aplicações de administração do dispositivo e depois desinstale normalmente. Se o próprio interruptor resistir, faça-o a partir do Modo de segurança.

Leitura relacionada: Rokarolla · O meu telemóvel foi pirateado? Os sinais que contam e os que não querem dizer nada · Remover um vírus do iPhone