Los investigadores de ciberseguridad han puesto el foco en una nueva variante del conocido troyano bancario ToxicPanda, bautizada como ToxicPanda 2.0. Esta versión no solo amplía su lista de víctimas potenciales, sino que incorpora técnicas mucho más agresivas para controlar el dispositivo Android, robar credenciales y vaciar cuentas bancarias sin levantar sospechas. El malware ha sido detectado principalmente en Europa, donde ya afecta a 16 países y a más de 340 aplicaciones financieras.
Lo que más preocupa a los expertos es que ToxicPanda 2.0 ya no se limita a robar datos mediante pantallas falsas. Ahora es capaz de tomar el control remoto del teléfono, ejecutar comandos como si fuera el propio usuario y bloquear las protecciones de Google Play. Todo ello con un único objetivo: realizar fraude financiero desde el propio dispositivo infectado, evitando los controles de seguridad que los bancos utilizan para detectar operaciones anómalas.
Una amenaza en expansión: 349 aplicaciones en el punto de mira
Según el análisis de Zimperium, la nueva versión del troyano incluye superposiciones de phishing para 349 aplicaciones relacionadas con banca online, criptomonedas y monederos digitales. Estas superposiciones replican a la perfección las pantallas de inicio de sesión o de transacciones de las apps legítimas, de manera que la víctima introduce sus credenciales sin saber que se las está enviando al atacante. El alcance geográfico se centra en Europa, aunque también hay afectados en otras regiones.
Además, ToxicPanda 2.0 incorpora un módulo específico para la captura de códigos PIN en 140 aplicaciones financieras y de criptomonedas. Este módulo registra las pulsaciones en pantalla mientras el usuario teclea su PIN, y también puede falsificar la pantalla de bloqueo nativa de Android para obtener el patrón o contraseña de desbloqueo del dispositivo. De esta forma, el ciberdelincuente no solo accede a las cuentas, sino que también puede bloquear al legítimo propietario.
Técnicas de robo más sofisticadas y evasión de seguridad
Una de las novedades más llamativas es la capacidad de mostrar pantallas falsas de actualización del sistema para ocultar la actividad maliciosa. Mientras el usuario cree que el teléfono se está actualizando, el malware está robando credenciales o realizando transferencias. También se ha detectado que ToxicPanda 2.0 actúa como un ‘dropper’: solicita permisos de VPN para controlar el tráfico de red y bloquear las comunicaciones con Google Play y Google Play Services, lo que le permite evadir las comprobaciones de seguridad como Play Protect.
Otra técnica preocupante es el abuso del Android Debug Bridge (ADB) inalámbrico. Aprovechando los permisos de Accesibilidad, el malware activa la depuración inalámbrica y obtiene permisos de shell, lo que le permite ejecutar comandos con privilegios elevados. Esto facilita la instalación de cargas adicionales, la modificación de la configuración del sistema y el refuerzo de su persistencia en el dispositivo. Los investigadores han observado que el troyano intenta evitar que Android lo cierre, utilizando funciones como autoBoot para mantenerse activo en segundo plano.
Cómo se distribuye y qué hacer para protegerse
La distribución de ToxicPanda 2.0 se realiza a través de paquetes alojados en Amazon Web Services, aunque la instalación se lleva a cabo mediante ingeniería social. Los atacantes convencen a las víctimas para que descarguen una aplicación maliciosa desde enlaces en mensajes no solicitados, anuncios o supuestas comunicaciones de soporte. Una vez instalada, la app solicita permisos excesivos, como acceso a Accesibilidad, administrador del dispositivo o VPN, que son fundamentales para que el malware funcione.
Para evitar la infección, los expertos recomiendan no instalar aplicaciones de fuentes no autorizadas y desconfiar de cualquier petición de permisos que no sea claramente justificada. También es esencial mantener una solución antimalware actualizada y revisar periódicamente los permisos concedidos a las apps. Si se sospecha de una infección, se debe activar el modo avión, usar otro dispositivo para vigilar las cuentas bancarias y, en casos graves, realizar un restablecimiento de fábrica.
En definitiva, ToxicPanda 2.0 representa un paso más en la evolución del malware bancario para Android. Su capacidad para combinar superposiciones, robo de PIN, control remoto y evasión de seguridad lo convierte en una amenaza seria para los usuarios europeos. La prevención sigue siendo la mejor defensa: desconfiar de toda petición de permisos sospechosa y mantener el dispositivo actualizado y protegido.
Continúar leyendo...