Como funciona o Verificador de apps suspeitos do Applore e quais são seus limites

Antes de mudar qualquer coisa

O que a verificação compara

O Verificador de apps suspeitos do Applore examina cada app instalado no seu celular e o compara com uma lista de ameaças de três maneiras:

• o nome do pacote do app, a identificação única que todo app Android tem, como com.example.app
• o certificado de assinatura do app, a assinatura digital que o desenvolvedor usa. Uma correspondência aqui continua valendo mesmo que o app tenha sido renomeado.
• a impressão digital do arquivo do app, um código calculado a partir do arquivo de instalação do app no seu celular. Ela corresponde a uma versão exata de um app.

A lista de ameaças combina várias fontes públicas:

• os indicadores de stalkerware publicados pelo Echap sob a licença CC BY 4.0. Eles cobrem stalkerware, apps vendidos para monitorar outra pessoa em segredo, e um conjunto separado de watchware, apps de monitoramento como ferramentas de controle parental ou de rastreamento de funcionários, que costumam ser instalados abertamente.
• os indicadores do Mobile Verification Toolkit (licença MIT), que listam apps de spyware comerciais documentados por pesquisadores.
• os indicadores publicados pela ESET (licença BSD 2-Clause) para apps Android nocivos.
• uma lista curta mantida pelo próprio Applore, com itens como apps de teste de antivírus e nomes de produtos de stalkerware.

Apps nocivos conhecidos nunca são identificados só pelo nome do pacote. Apps nocivos reempacotados muitas vezes reutilizam o nome de um app popular, então uma correspondência por nome poderia sinalizar o app verdadeiro. Eles só são identificados pelo certificado de assinatura ou pela impressão digital exata do arquivo.

Como a lista chega ao seu celular. Uma pessoa revisa cada atualização e a publica manualmente. O Applore procura uma lista assinada nova cerca de uma vez por dia quando o celular está on-line. Ele confere a assinatura e rejeita qualquer arquivo alterado, danificado ou menor do que o esperado, e então continua usando a lista que já tem. Uma cópia também vem com o app. Procurar uma atualização baixa um arquivo e não envia nada sobre os seus apps.

Nenhuma dessas fontes é completa. O Echap afirma que os indicadores dele não são uma lista completa de stalkerware e que não há garantia de que sejam precisos, e uma nova versão de um app pode aparecer antes de qualquer lista incluí-la. É por isso que o Applore também procura sinais de alerta.

Resultados do Google Play Protect

Se o Google Play Protect estiver ativado, o Applore também pergunta a ele quais apps instalados ele informa como nocivos e os lista com o Play Protect indicado como a fonte. O Play Protect é o verificador do Google, integrado aos celulares Android com Google Play. Se o Play Protect estiver desativado, ou se o celular não tiver os serviços do Google Play, essa parte da verificação é pulada e o resto continua. Quando o Play Protect está desativado, o Verificador de apps suspeitos mostra um aviso para você poder ativá-lo de novo. O que o Google Play Protect verifica explica os limites dele.

Sinais de comportamento que o Applore pontua

Para os apps que não correspondem à lista, o Applore pontua sinais que os apps de monitoramento costumam mostrar. Cada um deles, sozinho, também é comum em apps normais.

Ser instalado fora de uma loja de apps é uma condição de entrada, não uma prova por si só. Um app instalado a partir de um arquivo com o ícone visível só chega a Alto quando outro sinal forte o confirma: um ícone oculto, acesso de acessibilidade e a notificações ao mesmo tempo, um nome parecido com o de um app do sistema, um certificado de teste de desenvolvedor ou acesso a pelo menos quatro destes recursos: microfone, câmera, localização, mensagens, histórico de chamadas e contatos, enquanto está configurado para continuar rodando e iniciar junto com o celular. Um gravador de chamadas que você mesmo instalou pode se parecer com este último caso, por isso você pode marcá-lo como confiável.

Uma cópia de um app popular, sozinha, fica em Vale a pena verificar: versões modificadas e downloads oficiais do site de um desenvolvedor também têm essa aparência. Ela só chega a Alto com um ícone oculto ou com acesso de acessibilidade, a notificações ou de administrador do dispositivo.

O Applore ignora os apps do sistema e ele mesmo. Apps instalados pelo próprio firmware do fabricante, como apps regionais ou da operadora, são tratados como instalações de uma loja de apps.

O que os níveis significam

Cada app sinalizado recebe um destes níveis, com as mesmas palavras do app:

App de monitoramento conhecidoAltoVale a pena verificarNão sinalizado

• App de monitoramento conhecido: o nome do pacote, o certificado de assinatura ou a impressão digital do arquivo corresponde a um stalkerware conhecido da lista, um app de monitoramento conhecido foi instalado a partir de um arquivo e esconde o ícone, ou um app de fora de uma loja usa o nome de um produto de stalkerware conhecido e pode usar acessos sensíveis.
• Alto: instalado fora de uma loja de apps com sinais de alerta fortes, como um ícone desativado ou um ícone oculto junto com acesso de acessibilidade, a notificações ou de administrador do dispositivo. Um app que corresponde a um app nocivo conhecido pelo certificado ou pelo arquivo, ou que o Google Play Protect informa como nocivo, também fica em Alto, venha de onde vier. Um app de teste de antivírus também aparece aqui, marcado como uma ameaça de teste inofensiva.
• Vale a pena verificar: alguns sinais de alerta, ou um app de monitoramento conhecido instalado por uma loja de apps. Revise-o quando tiver um tempo.
• Não sinalizado: nenhuma correspondência e sinais insuficientes. Isso não prova que o app, ou o celular, está bem.

Dentro do Applore, Sobre este app explica cada resultado em palavras simples: o que o app pode ver ou fazer, de onde veio, quando foi instalado e por que foi sinalizado.

Apps de monitoramento e stalkerware

Apps familiares, de controle parental e de empresas do Google Play são identificados como apps de monitoramento, não como stalkerware. Eles costumam ser instalados abertamente e podem ser legítimos, mas também podem ser mal usados. Um app instalado por uma loja de apps pode chegar no máximo a Vale a pena verificar, a menos que corresponda à lista de ameaças ou que o Play Protect o informe. Apps de monitoramento e stalkerware explica a diferença.

Removido do Play: uma lista separada

O Applore também mostra Removido do Play: apps instalados que aparecem em uma lista baixada de apps que o Google removeu do Google Play por motivos de política, principalmente adware ou fraude. Não é uma verificação de spyware ou de malware, e fica separada do Verificador de apps suspeitos. Ela nunca aumenta o nível de stalkerware de um app e nunca envia um lembrete por conta própria.

Quando as verificações rodam

O Applore pede o seu consentimento antes de ler a sua lista de apps pela primeira vez. Depois disso, as verificações rodam:

• quando você abre o Applore
• em segundo plano, em horários programados, incluindo uma nova verificação diária de todos os apps instalados
• quando apps são adicionados ou atualizados, conforme o Android informa essas mudanças

A economia de bateria do Android pode atrasar as verificações em segundo plano, então um app novo pode não ser verificado na mesma hora.

Se o Applore encontrar um resultado App de monitoramento conhecido ou Alto, ele lembra você mais tarde e de novo até você agir: depois de cerca de uma hora, mais tarde no mesmo dia, no dia seguinte, depois diariamente por uma semana e semanalmente a partir daí. Deslizar um lembrete para fechá-lo não apaga o resultado. Um resultado é resolvido quando o app é removido ou quando você o marca como confiável com o PIN ou o padrão do Bloqueio de Aplicativo. Resultados Vale a pena verificar aparecem na lista sem lembrete.

O que o Applore não consegue fazer

O Applore também não consegue ver quais acessos especiais outro app recebeu em algumas configurações, como acesso ao uso ou sobreposição a outros apps. Ele só consegue ver que o app os pediu.

Alguns tipos de monitoramento estão fora do que qualquer verificação de apps consegue ver:

• implantes no software do sistema do celular ou ferramentas que exigem um celular com root
• ataques que não precisam de nenhum app, como os exploits de clique zero
• espionagem por meio de uma conta ou serviço de nuvem compartilhado ou conectado. A Verificação de Segurança guia você por essas configurações, mas não consegue examiná-las por você.
• tráfego de rede e encaminhamento de chamadas ou mensagens configurado com a sua operadora

O que é e o que não é enviado

• A verificação roda no seu celular. A detecção não envia nada sobre os seus apps, e os resultados ficam no dispositivo.
• As atualizações da lista de ameaças são apenas downloads. O Applore busca a lista assinada em applore.io. Como qualquer acesso à web, isso mostra o seu endereço IP ao servidor, mas não leva nada sobre os seus apps.
• O Play Protect é consultado no celular. Se o Play Protect estiver ativado, o Applore o consulta pelos serviços do Google Play no seu celular.
• Nenhum nome de pacote vai para as ferramentas de análise. Os eventos de análise sobre a verificação levam contagens, não nomes de apps.
• Uma exceção: a Categoria do App. Quando você abre a Categoria do App no Gerenciador de Aplicativos, nomes de pacotes são enviados ao servidor do Applore para agrupar os apps por categoria. É um recurso separado, informado na política de privacidade.
• O relatório só sai se você o compartilhar. Um relatório de evidências é criado no seu celular e só sai dele pela janela de compartilhamento do Android, para o lugar que você escolher. Veja como compartilhar um registro do que o Applore encontrou.

Peça apoio

O app Applore inclui contatos de apoio da Índia, dos Estados Unidos e do Reino Unido, além de opções globais. Se você mora em outro lugar, procure uma linha de apoio contra a violência doméstica no seu país. A página de linhas de apoio mostra por onde começar. Se você estiver em perigo imediato, ligue para o número de emergência local.

Para a lista de dados e licenças de terceiros que o Applore usa, veja os créditos. Todos os guias de segurança estão na central de segurança.