Como Verificar Arquivos IPA em Busca de Malware Antes de Instalar

Antes de instalar um arquivo IPA vindo de fora da App Store, alguns minutos de verificação podem te livrar de um app modificado que rouba logins, contatos ou dados de localização. Este guia cobre formas práticas de verificar um IPA em busca de malware, desde uma varredura rápida online até a análise do próprio arquivo, além do que fazer caso você já tenha instalado algo suspeito. Última verificação: 27 de outubro de 2026, com base na documentação do VirusTotal e do MobSF e no Guia do Usuário do iPhone para iOS 26, da Apple.

Os riscos, primeiro

• Nenhuma varredura consegue provar que um IPA é seguro. Os scanners encontram ameaças conhecidas; uma modificação nova ou bem escondida pode passar por todas as verificações.
• Enviar um arquivo para um scanner online significa compartilhá-lo. A documentação do VirusTotal diz que os resultados são compartilhados “entre os parceiros examinadores” e que “o conteúdo dos arquivos ou páginas enviados também pode ser compartilhado com clientes premium do VirusTotal”. Nunca envie um IPA que contenha seus próprios dados ou builds privadas.
• A origem importa mais do que a varredura em si. Um arquivo vindo da própria página de lançamento do desenvolvedor é bem menos arriscado do que o mesmo app reenviado por um desconhecido.

Checklist rápido

Verificação	Tempo	O que é necessário	O que é detectado
Pesquisa da origem	5 minutos	Um navegador	Sites falsos, reenvios, fontes com histórico ruim
Hash do arquivo	1 minuto	Terminal, um hash publicado	Qualquer alteração no arquivo depois que o criador o publicou
VirusTotal	Alguns minutos	Um navegador	Malware conhecido, que os antivírus já detectam
Olhar dentro do IPA	10 minutos	Ferramenta de descompactação, idealmente um Mac	Bibliotecas extras injetadas no app
MobSF	15+ minutos	Docker, ou a demo online	Permissões arriscadas, rastreadores, URLs e chaves fixas no código

Por que os arquivos IPA podem ser perigosos

Um arquivo IPA é um arquivo ZIP que contém um app para iOS. Qualquer pessoa com as ferramentas certas pode pegar um app real, adicionar seu próprio código a ele, empacotá-lo novamente e compartilhá-lo. O resultado parece e funciona como o original, mas o código adicionado pode rodar em segundo plano com as permissões que você conceder ao app. Isso é chamado de app repaginado ou modificado, e é a principal forma pela qual malware chega aos iPhones fora da App Store.

As ferramentas de sideloading assinam novamente cada app com um certificado novo antes de instalá-lo, então a assinatura no seu iPhone não revela nada sobre quem criou o app. É por isso que as verificações abaixo acontecem antes de você instalar.

Método 1: pesquise a fonte

Faça isso primeiro, porque é a única verificação capaz de identificar algo que nenhum scanner conhece ainda.

• Prefira a página oficial de lançamento do desenvolvedor, como a seção de releases do app no GitHub, em vez de qualquer mirror.
• Pesquise o nome exato do arquivo ou da fonte no Reddit (r/sideloaded, r/jailbreak) para ver relatos de problemas.
• Desconfie de sites muito novos, links anônimos de hospedagem de arquivos e canais no Telegram sem histórico.
• Desconfie ainda mais de sites que oferecem apps pagos de graça. Esses arquivos sempre foram modificados por alguém, por definição.

Nossa lista de bibliotecas e repositórios de IPA explica o que observar em uma fonte.

Método 2: verifique o hash do arquivo

Alguns desenvolvedores publicam um hash SHA-256 junto do download. Um hash é como uma impressão digital do arquivo: se até um único byte mudar, o hash fica completamente diferente. Se o hash do seu arquivo coincidir com o publicado, você tem exatamente o arquivo que o desenvolvedor lançou.

• Mac: abra o Terminal e execute shasum -a 256 /path/to/app.ipa
• Windows: abra o PowerShell e execute Get-FileHash C:\path\to\app.ipa -Algorithm SHA256
• Linux: execute sha256sum /path/to/app.ipa

A coincidência só ajuda se o hash vier do desenvolvedor, e não do mesmo site que forneceu o arquivo. Um hash em um mirror só prova que o arquivo é o que o mirror enviou.

Método 3: escanear com o VirusTotal

O VirusTotal é um serviço gratuito que verifica um arquivo usando o que sua documentação descreve como “mais de 70 scanners de antivírus e serviços de bloqueio de URL/domínio”.

1. Abra virustotal.com no seu computador.
2. Escolha File, selecione o IPA e aguarde a análise.
3. Antes de enviar o arquivo, cole o hash SHA-256 do arquivo na aba Search. Se alguém já tiver escaneado o mesmo arquivo, você recebe os resultados sem precisar enviar nada.
4. Leia os nomes das detecções, não apenas a contagem.

Como interpretar o resultado:

• Vários mecanismos indicam a mesma família de malware: não instale.
• Uma ou duas detecções com nomes genéricos: pode ser um falso positivo. A documentação do VirusTotal diz que o serviço também é útil para identificar falsos positivos, “itens normais e inofensivos detectados como maliciosos por um ou mais scanners”. Confira os comentários da comunidade no resultado e reavalie a fonte.
• Nenhuma detecção: significa que nenhum mecanismo o reconhece como malware. Isso não significa que o arquivo esteja limpo.

Método 4: olhe dentro do IPA

Como um IPA é um arquivo ZIP, você pode abri-lo sem instalá-lo.

1. Copie o arquivo e renomeie a cópia de app.ipa para app.zip.
2. Extraia-o. Dentro há uma pasta Payload com uma pasta AppName.app dentro dela (em um Mac, clique com o botão direito nela e escolha Mostrar Conteúdo do Pacote).
3. Abra o Info.plist e verifique o bundle identifier e a versão. Eles devem corresponder ao app que você espera.
4. Procure na pasta Frameworks e na pasta do app por arquivos .dylib. Código injetado geralmente é adicionado como um dylib extra com um nome que não tem nada a ver com o app.

Em um Mac com as ferramentas de linha de comando do Xcode, dois comandos vão mais além:

• otool -L Payload/AppName.app/AppName lista as bibliotecas que o programa principal do app carrega. Um caminho para uma biblioteca dentro do app que não é um dos frameworks próprios dele é um sinal de alerta.
• codesign -dv --verbose=4 Payload/AppName.app mostra quem assinou o arquivo. Compare com o desenvolvedor que você espera, tendo em mente que muitos IPAs são distribuídos sem assinatura ou com a assinatura refeita.

Alguns apps modificados, como apps com tweaks, são feitos para conter dylibs extras. Nesse caso, a questão não é se existe um, mas se você confia na pessoa que o adicionou.

Método 5: análise profunda com MobSF

Mobile Security Framework (MobSF) é uma ferramenta gratuita e de código aberto. Seu README diz que o analisador estático oferece suporte a binários de apps, incluindo arquivos IPA, e lista usos como análise de malware e análise de privacidade. Um relatório do MobSF sobre um IPA mostra coisas como permissões solicitadas, endereços de rede e strings encontradas no app.

• Execute você mesmo: o README traz uma configuração com Docker: docker pull opensecurity/mobile-security-framework-mobsf:latest, depois docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest, e abra localhost:8000 em um navegador.
• Online: o README traz um link para um analisador estático online em mobsf.live. Vale o mesmo cuidado com a privacidade que se aplica ao VirusTotal: você está enviando o arquivo para o servidor de outra pessoa.

Procure por permissões que o app não deveria precisar (uma calculadora pedindo acesso a contatos) e endereços de rede que não pertencem ao desenvolvedor do app.

Se você já instalou um app suspeito

1. Exclua o app: toque e segure o ícone, toque em Remover App e depois em Excluir App.
2. Verifique em Ajustes > Geral > VPN e Gerenciamento de Dispositivo e remova qualquer perfil que você não reconheça.
3. Revise as permissões em Ajustes > Privacidade e Segurança e confira o Relatório de Privacidade de Apps lá para ver quais domínios os apps contataram.
4. Altere as senhas de todas as contas em que você fez login dentro daquele app, começando pela sua Apple Account e pelo e-mail.
5. Se você acredita que o comprometimento foi sério, faça backup do que precisar e apague o iPhone em Ajustes > Geral > Transferir ou Redefinir iPhone > Apagar Todo o Conteúdo e Ajustes.

Os caminhos passo a passo para cada permissão estão no nosso guia sobre como revogar o acesso de apps não confiáveis.

Bons hábitos

• Baixe apps diretamente da página de releases do próprio desenvolvedor, sempre que ela existir.
• Confira o hash quando ele for publicado e escaneie com o VirusTotal sempre.
• Conceda permissões apenas quando um app realmente precisar delas para o uso que você faz dele.
• Use uma Apple ID separada para sideloading se a sua ferramenta pedir uma, assim a conta principal nunca fica em risco.

Para uma visão mais ampla, veja nosso guia de segurança sobre sideloading no iOS e o que você precisa saber sobre certificados enterprise.

Perguntas frequentes

Posso escanear um IPA no meu iPhone?

Você pode abrir virustotal.com no Safari e enviar o arquivo pelo app Arquivos. Olhar dentro do IPA e rodar o MobSF exigem um computador.

A revisão da App Store protege apps instalados via sideload?

Não. Um IPA instalado via sideload nunca passou pela App Review, mesmo que o app original esteja na App Store.

Um resultado limpo no VirusTotal é suficiente?

Não. Isso só significa que nenhum mecanismo reconhece o arquivo como malware conhecido. Combine isso com uma fonte confiável e uma análise do conteúdo do arquivo.