- La variante del troyano ToxicPanda amplía su ataque hasta 349 aplicaciones financieras en 16 países, con especial foco en Europa.
- Suma 167 comandos remotos, captura de PIN y pantallas falsas para colarse en la sesión bancaria.
- Abusa de permisos de accesibilidad, VPN y depuración inalámbrica para saltarse las protecciones de Google.
- Los expertos avisan: la instalación mediante ingeniería social sigue siendo su principal vía de distribución.
El mundo de la ciberseguridad está de uñas con ToxicPanda 2.0, una nueva versión del malware que ha pasado de ser un troyano bancario a convertirse en una completa herramienta de acceso remoto. Los investigadores coinciden en que la amenaza ya afecta a 349 aplicaciones de bancos y monederos digitales, sobre todo en Europa, y que su método preferido para robar credenciales y PIN ya no necesita ni salir del propio teléfono. Esta variante viene con 167 comandos remotos bajo el brazo, lo que le da a los atacantes un control casi total del dispositivo, incluyendo el poder de simular pantallas falsas o hasta el clásico aviso de “actualización del sistema” para que nadie se entere de lo que está pasando.
La distribución de esta amenaza se ha detectado en una campaña que utiliza servicios legítimos de Amazon Web Services para repartir paquetes maliciosos. Detrás de este hallazgo están firmas como Zimperium y Malwarebytes, y sus análisis apuntan a un sistema de superposiciones bancarias con apariencia calcada de la app original, diseñadas para engañar al usuario y robarle todo tipo de información sensible. Aunque el entorno natural del troyano es Android, su complejidad técnica no es casualidad: combina permisos del sistema con abuso del servicio de accesibilidad, la depuración inalámbrica y el control del tráfico de Google Play, lo que convierte a la víctima en una plataforma de fraude financiero en directo.
Así funciona el engaño de las superposiciones bancarias
El problema gordo está en la capacidad del malware para mostrar, sobre la propia app del banco, una pantalla idéntica pero falsa, en la que el usuario teclea sus claves sin saberlo. Esta técnica no es nueva, pero ToxicPanda 2.0 ha afilado el lápiz y ahora tiene apuntadas 349 aplicaciones de banca, cripto y carteras digitales en 16 países. Dentro de este abanico, se ha detectado que afecta a 140 aplicaciones específicas para capturar el PIN, ya que es capaz de leer las pulsaciones en pantalla y hasta de falsificar la pantalla de bloqueo de Android para rastrear el patrón o el código de desbloqueo.
Esto va en serio, porque la primera puerta de entrada es una app falsa que parece inofensiva. El dropper, una vez instalado, solicita permisos de VPN para controlar el tráfico de red y bloquear las comunicaciones de Google Play y Play Services, de tal manera que se corta la comunicación con el sistema de protección Play Protect. Por este aro las comprobaciones de seguridad quedan pilladas, el malware aprovecha para colocar la carga útil final y ya exige acceso al Servicio de Accesibilidad, un permiso que por desgracia muchos usuarios aceptan sin mirar y que le da vía libre para inspeccionar cada pestaña de la pantalla y dar las órdenes remotas.
Robo de cuentas y evasión de medidas bancarias
Cuando el malware obtiene los permisos de accesibilidad, los atacantes pueden hacer casi lo que quieran con el teléfono: manejar sesiones abiertas, pulsar botones en tu nombre o hasta activar la depuración inalámbrica (ADB) para tener el control total del equipo a través de WiFi. La investigación confirma que ToxicPanda 2.0 se sirve del propio servicio de accesibilidad para habilitar la depuración remota y obtener privilegios de usuario “shell”, lo que permite lanzar una serie de 167 comandos remotos. De ahí que el riesgo no se quede en un mero robo de contraseñas: el dispositivo queda comprometido para usos fraudulentos, suplantación, fraude de sesión y otro tipo de estafa que la mayoría de usuarios no ven venir.
La principal baza de este malware, aparte del código en sí, es la ingeniería social con una vía de entrada personalizada. El hack viene por aplicaciones maliciosas repartidas a través de mensajes o anuncios que no son fiables, y la gente se la cuela por confianza, no por resistencia técnica. Por mucho que los bancos refuercen sus medidas de seguridad, el factor humano es la puerta por donde los ciberdelincuentes entran sin pedir permiso, utilizando una combinación de superposiciones falsas y pantallas de “mantenimiento del sistema” para engañarte por completo.
Recomendaciones para blindarse en tu dispositivo Android
La clave no es que un antivirus lo haga todo, sino que el usuario ponga de su parte. Los expertos recomiendan encarecidamente no instalar aplicaciones que no vengan de Google Play, y mirar con lupa cualquier petición de permisos de Accesibilidad, VPN o Administrador de dispositivos. Para tu tranquilidad, usan una solución de seguridad actualizada y en tiempo real, porque cuando el malware ya está dentro, es más difícil deshacerse de él.
Si sufres ya una posible infección, lo primero es activar el modo avión y desconectar Wi-Fi y Bluetooth, para que el ladrón no pueda hacer más de las suyas mientras investigas. Luego, conviene desactivar el permiso de Accesibilidad en los ajustes del sistema, eliminar cualquier VPN que no instalaras y la depuración inalámbrica o USB. En caso de que no puedas limpiar la app, la opción más segura es reiniciar el móvil y de fábrica, porque la seguridad de tus cuentas está por encima de todo.
Por último, conviene que estés bien atento a esos mensajes, sobre todo en el teléfono, de instalación de programas que piden credenciales. Aunque esta amenaza es seria, un buen tico y una alerta a tiempo pueden cerrarle la puerta. Mantén las apps al día, usa un buen detector de malware y no te creas lo de que “es tu banco de turno” que te avisa por una actualización. En líneas generales, ToxicPanda 2.0 viene con todo y acecha con la excusa de una “actualización del sistema” para robarte lo más valioso. La defensa se resuma en tener la cabeza fría, controlar los permisos de accesibilidad y no instalar nada de fuentes no oficiales para proteger tus cuentas bancarias y tu smartphone.
