Malware para Android.

El malware para Android abarca desde el fraude publicitario y los troyanos de SMS premium hasta troyanos bancarios, spyware y herramientas de acceso remoto. Entre las familias bien documentadas figuran Joker (fraude de SMS premium, detectado en repetidas ocasiones en Google Play), Anubis y Cerberus (troyanos bancarios que abusan de los servicios de accesibilidad para superponer pantallas de phishing y robar OTP enviados por SMS), BRATA (RAT bancario capaz de restablecer el dispositivo a los valores de fabrica) y SharkBot (troyano bancario que emplea sistemas de transferencia automatizada, ATS, para iniciar transferencias fraudulentas).

Dos campañas ilustran su magnitud. FluBot, un gusano de smishing visto por primera vez en diciembre de 2020, se propagaba enviando mensajes de texto con falsos enlaces de entrega de paquetes y de buzon de voz que instalaban un APK; despues recopilaba los contactos para reenviarse a si mismo mediante SMS. En 2022, una operacion en 11 paises coordinada por el EC3 de Europol desmantelo su infraestructura. GriftHorse, documentado por Zimperium zLabs en 2021, utilizo alrededor de 200 aplicaciones de apariencia inocua para suscribir a un estimado de mas de 10 millones de usuarios en mas de 70 paises a servicios premium con un coste aproximado de 30 EUR al mes.

El patron de distribucion predominante hoy es un "dropper" benigno que supera la revision de Google Play y luego instala por sideload la carga util real, solicitando el Accessibility Service para leer la pantalla, autocompletar transferencias fraudulentas y descartar sus propios cuadros de dialogo de desinstalacion. Familias como Anatsa (TeaBot) y Xenomorph han perfeccionado esta via.

Defensas: mantenerse en Google Play con el analisis en tiempo real de Play Protect, utilizar los Ajustes Restringidos de Android 13+ (que impiden que las aplicaciones instaladas por sideload accedan a la Accesibilidad y al Notification Listener), mantener el sistema operativo parcheado y aplicar EMM/MDM con atestacion Play Integrity en los dispositivos corporativos.

flowchart TD
  A[La app dropper supera<br/>la revision de Google Play] --> B[El usuario la instala<br/>desde Play o un SMS de phishing]
  B --> C[La app instala por sideload<br/>la carga util real]
  C --> D{Concede el usuario el<br/>Accessibility Service?}
  D -->|No| E[El malware insiste con<br/>falsos avisos del sistema]
  E --> D
  D -->|Si| F[Lee la pantalla, inyecta<br/>superposiciones, autocompleta]
  F --> G[Roba OTP / credenciales<br/>Sistema de transferencia automatizada]
  G --> H[Transferencia fraudulenta<br/>o suscripcion premium]