Publicado: agosto 29, 2026, 5:29 am
El malware sigue evolucionando y cada vez es más sofisticado, debido a que ya no solo se trata de instalar una app maliciosa o robar una contraseña. Algunas amenazas se aprovechan de funciones normales del teléfono móvil para vigilar lo que hace el usuario, ocultar su actividad y conseguir más control sobre el dispositivo.
Precisamente esto es lo que hace una nueva versión de un troyano bancario que ha sido detectada. Investigadores de Zimperium han descubierto que ToxicPanda 2.0 se distribuye a través de paquetes alojados en Amazon Web Services, lo que sugiere que las víctimas lo descargan desde enlaces fraudulentos.
Puede atacar 349 aplicaciones bancarias, de criptomonedas y monederos digitales en 16 países. Esto dice mucho de su evolución, ya que la versión anterior tenía como objetivo solo 16 aplicaciones bancarias y, además, ahora cuenta con 167 comandos que permiten a los delincuentes enviar instrucciones al móvil infectado.
Así ataca el malware ToxicPanda 2.0
Según explican desde Bleeping Computer, el ataque se inicia con un ‘dropper’, una app que sirve para introducir el malware principal en el teléfono. Lo que hace ToxicPanda es mostrar una pantalla falsa de instalación y pide permiso para funcionar como una VPN. De conseguirlo, puede bloquear las comunicaciones de Google Play y Google Play Services, dificultando que algunas funciones de seguridad comprueben lo que esta ocurriendo.
Después instala la carga maliciosa y pide acceso al Servicio de Accesibilidad de Android, que le permite ver e interactuar con elementos de la pantalla. Cuando el usuario abre una aplicación financiera que está entre sus objetivos, el software malicioso puede colocar encima una pantalla falsa prácticamente idéntica a la original. Si la víctima introduce su usuario, contraseña o PIN, esos datos pueden terminar en manos de los ciberdelincuentes.
También incorpora un sistema para robar el PIN en más de 140 aplicaciones bancarias y de criptomonedas, y puede colocar una pantalla falsa sobre la de bloqueo de Android e intentar conseguir el PIN, patrón o contraseña utilizados para desbloquear el teléfono. Incluso puede mostrar falsas actualizaciones del sistema para que la víctima crea que el móvil está realizando tareas de mantenimiento mientras el malware trabaja en segundo plano.
Otra de sus funciones más llamativas es el abuso de Android Debug Bridge (ADB) porque, mediante Accesibilidad, puede depurar aplicaciones a través de conexión WiFi en lugar de utilizar un USB para ejecutar comandos en el dispositivo. Por si no fuera suficiente, tambien han detectado funciones para automatizar permisos y configuraciones en moviles de distintos fabricantes.
¿Dónde está el riesgo y cómo evitar este malware?
El peligro se encuentra al instalar una app de Android fuera de una fuente oficial o caer en una instalación engañosa o en seguir instrucciones que lleven a instalar un APK fuera de Google Play.
