Blog
El panorama financiero global está presenciando un cambio de paradigma en las amenazas móviles. La era de los simples ataques de superposición (overlay) y el robo de credenciales está siendo superada por una nueva generación de troyanos sofisticados para Android que participan en fraudes interactivos y en tiempo real. Estas amenazas no son simplemente código malicioso; son componentes de campañas complejas, operadas por humanos, que combinan exploits técnicos avanzados con una magistral ingeniería social.
Este informe proporcionará un análisis exhaustivo de tres vectores de amenaza convergentes y muy preocupantes que definen esta nueva ola:
Estos no son fenómenos aislados. Representan la industrialización y la mercantilización del ciberdelito avanzado, impulsado por un ecosistema global "como servicio", la instrumentalización de la investigación de código abierto y un cambio estratégico hacia el ataque al proceso de transacción en sí mismo, en lugar de solo a las credenciales que lo protegen.
Para comprender la gravedad de la situación actual, es fundamental trazar la evolución de estas amenazas, demostrando cómo vectores distintos han madurado y convergido con el tiempo para formar las complejas campañas que se observan hoy en día.
La historia comienza mucho antes de los titulares recientes. En principios de 2016, el troyano móvil Triada marcó un hito al demostrar un profundo nivel de integración en el sistema operativo, modificando el proceso Zygote, el padre de todas las aplicaciones de Android. Esta fue una señal temprana de la ambición del malware móvil por obtener un control profundo del dispositivo, un precursor del enfoque actual en el acceso a nivel de kernel.
Un momento crucial ocurrió entre diciembre de 2016 y 2018, cuando se filtró el código fuente de un troyano bancario para Android. Esta filtración dio origen a la familia BankBot/Spy Banker y estableció un patrón que se repetiría: la reutilización y evolución del código malicioso.9 Las campañas iniciales se dirigieron a bancos en Rusia, Turquía y Estados Unidos, demostrando la naturaleza transnacional de estas operaciones desde sus inicios.
Para junio de 2019, el mercado de malware se había profesionalizado significativamente. El troyano bancario Cerberus apareció en foros clandestinos, ofrecido en alquiler bajo un modelo de Malware-as-a-Service (MaaS). Sus autores se jactaban de que estaba escrito desde cero, a diferencia de otros que se basaban en código filtrado como el de Anubis, lo que indicaba un mercado competitivo y en maduración para los troyanos bancarios de Android.
En noviembre de 2020, los investigadores descubrieron el troyano bancario Ghimob, atribuido al actor de amenazas brasileño conocido como "Tétrade". Ghimob fue descrito como un "espía de bolsillo en toda regla", capaz de monitorear 153 aplicaciones móviles y, lo que es más importante, ejecutar fraudes en segundo plano mientras la víctima veía una pantalla en negro.11 Este fue un claro movimiento hacia el secuestro de sesiones en tiempo real, un alejamiento del simple robo de credenciales para su uso posterior.
El escenario para los ataques actuales comenzó a prepararse en noviembre de 2023. Investigadores de ESET detectaron por primera vez a un nuevo actor de amenazas dirigido a clientes de importantes bancos checos. Los ataques iniciales fueron relativamente simples, utilizando Aplicaciones Web Progresivas (PWA) maliciosas y WebAPKs distribuidos a través de enlaces de phishing en mensajes SMS que prometían devoluciones de impuestos.14 Esta campaña sentó las bases operativas para un ataque mucho más sofisticado.
Un desarrollo técnico crítico ocurrió en enero de 2024 con la divulgación de la vulnerabilidad CVE-2023-49794 en KernelSU, un popular framework de rooteo. El fallo, que afectaba a las versiones 0.7.1 y anteriores, permitía que una aplicación maliciosa con un nombre de paquete falsificado eludiera la autenticación y obtuviera privilegios de root completos, creando el vector de ataque perfecto para el malware que busca el control total del dispositivo.
En marzo de 2024, la campaña en la República Checa escaló drásticamente. Los actores de amenazas desplegaron el malware NGate en los mismos dominios de distribución que habían utilizado para su phishing con PWA. NGate incorporó la capacidad de retransmisión NFC, basada en el proyecto académico de código abierto NFCGate, para facilitar retiradas de efectivo no autorizadas en cajeros automáticos. Aunque un sospechoso fue arrestado ese mismo mes, lo que provocó una pausa temporal en la campaña, la técnica ya había sido probada en el campo.
Mientras tanto, desde noviembre de 2023 hasta la actualidad, Microsoft observó campañas continuas en la India donde los atacantes utilizaban WhatsApp y Telegram para distribuir troyanos bancarios como SpyBanker. Los señuelos estaban altamente localizados, como falsas notificaciones de actualización de "Conozca a su Cliente" (KYC), y el malware estaba diseñado para robar credenciales e interceptar mensajes SMS.
La globalización de la amenaza de retransmisión NFC se hizo evidente en abril de 2025, cuando se identificó el malware SuperCard X dirigido a usuarios en Italia. Se reveló que era una plataforma MaaS con fuertes similitudes de código con NGate, confirmando el modelo de negocio y la propagación global de la amenaza.
Finalmente, en agosto de 2025, todas las piezas convergieron. Los investigadores revelaron PhantomCard, otro troyano de retransmisión NFC dirigido a clientes bancarios en Brasil. Se vinculó explícitamente a una oferta de MaaS de habla china llamada "NFU Pay" y vendida por revendedores locales, consolidando la comprensión de la cadena de suministro global para esta amenaza. Simultáneamente, surgieron informes de que las variantes de SpyBanker en la India ahora incluían capacidades de redirección de llamadas.3 Para completar el cuadro, la firma de seguridad Zimperium emitió una advertencia sobre los riesgos de los frameworks de rooteo como KernelSU, destacando que estaban siendo activamente explotados. La nueva frontera del fraude bancario móvil había llegado.
La aparición de malware como PhantomCard y SuperCard X representa un salto cualitativo en el fraude financiero móvil. Estos troyanos no se limitan a robar información estática; atacan la integridad del propio proceso de transacción sin contacto, instrumentalizando la tecnología NFC de una manera que elude las defensas tradicionales.
La Comunicación de Campo Cercano (NFC) es la tecnología de radiofrecuencia que permite los pagos sin contacto, o "tap-to-pay". Permite una comunicación segura a corta distancia entre una tarjeta de pago y un terminal (como un Punto de Venta o TPV, o un cajero automático). La seguridad se basa en datos criptográficos intercambiados durante esta breve interacción.
Un ataque de retransmisión (relay attack) explota esta tecnología de una manera fundamentalmente diferente al skimming o la clonación. En lugar de intentar copiar o descifrar los datos de la tarjeta, el ataque actúa como un puente de larga distancia. Simplemente captura y retransmite la comunicación inalámbrica en bruto y cifrada entre la tarjeta de la víctima y un terminal legítimo, sin necesidad de entender o modificar el contenido.
El resultado es devastadoramente efectivo. Desde la perspectiva del sistema del banco, la transacción parece completamente legítima. Recibe una solicitud de pago con datos criptográficos válidos y una firma digital auténtica, como si la tarjeta física estuviera realmente presente en el terminal.19 Esto hace que el fraude sea increíblemente difícil de detectar en el momento, ya que elude las defensas tradicionales que buscan tarjetas clonadas, credenciales robadas o anomalías en la ubicación del titular de la cuenta. La investigación académica ha propuesto contramedidas como los protocolos de delimitación de distancia (que miden el tiempo de ida y vuelta de la señal para detectar retrasos anormales) y la huella digital de RF (que analiza las características únicas de la señal de radio), pero estas soluciones aún no están implementadas a gran escala, dejando una ventana de oportunidad para los atacantes.
La ejecución de un ataque de retransmisión NFC es una sinfonía de ingeniería social y explotación técnica, donde el operador humano es tan crucial como el malware.
El Señuelo Inicial (Ingeniería Social): El ataque comienza con un escenario de Entrega de Ataque Orientado por Teléfono (TOAD, por sus siglas en inglés). La víctima recibe un mensaje de texto urgente, a menudo a través de SMS o WhatsApp, que suplanta a su banco. El mensaje suele contener una alerta de seguridad falsa, como una notificación de un pago saliente sospechoso, diseñada para infundir pánico.
El Operador Humano: Se instruye a la víctima para que llame a un número proporcionado o es contactada directamente por un estafador que se hace pasar por un agente del banco. Este operador utiliza un guion cuidadosamente elaborado para generar confianza y guiar a la víctima a través de los siguientes pasos, explotando la urgencia y el miedo establecidos en la fase inicial.
Instalación del Malware: El agente convence a la víctima de que, para proteger su cuenta, debe instalar una aplicación de "seguridad" o de "protección de tarjetas". Se le envía un enlace para descargar la aplicación, que se aloja en páginas web que imitan a Google Play o en otras fuentes no oficiales. En Brasil, el malware se ha distribuido con nombres como "Proteção Cartões", mientras que en el modelo MaaS se le conoce como la aplicación "Reader".
El "Toque" Engañoso: Este es el núcleo del engaño. Se le pide a la víctima que "verifique" su tarjeta de pago acercándola a la parte posterior de su propio teléfono. La interfaz de usuario del malware muestra un mensaje convincente como "Verificando..." o "¡Tarjeta detectada! Mantenga la tarjeta cerca hasta que se complete la autenticación".
La Retransmisión en Tiempo Real: En el momento en que la víctima acerca su tarjeta, la aplicación "Reader" en su teléfono utiliza el lector NFC incorporado para capturar los datos de la transacción. Estos datos se retransmiten instantáneamente a través de un servidor de Comando y Control (C2) a la aplicación "Tapper" instalada en el dispositivo de un cómplice (o "mula"). Este cómplice se encuentra físicamente en un TPV o un cajero automático y simplemente acerca su propio teléfono al lector del terminal. La comunicación se completa, y la transacción fraudulenta se autoriza en tiempo real.
El análisis técnico de PhantomCard/SuperCard X revela una operación profesional y diseñada para el sigilo.
La estructura operativa detrás de PhantomCard/SuperCard X no es la de un grupo monolítico, sino la de una cadena de suministro de ciberdelito en varios niveles.
Mientras que PhantomCard ataca el canal de transacciones sin contacto, la familia de troyanos SpyBanker ha evolucionado para corromper uno de los canales de comunicación más confiables entre un cliente y su banco: la llamada telefónica. Al secuestrar esta línea de comunicación, los atacantes pueden ejecutar ataques de vishing (phishing de voz) con un nivel de credibilidad sin precedentes.
La característica definitoria de las variantes más recientes de SpyBanker es la redirección de llamadas. El malware logra esta hazaña a través de varios medios técnicos.
La campaña de SpyBanker ha encontrado un terreno especialmente fértil en la India, donde los atacantes han adaptado sus tácticas al contexto local.
Una vez instalado, SpyBanker despliega un conjunto de Tácticas, Técnicas y Procedimientos (TTPs) bien establecidos en el mundo de los troyanos bancarios.
Aunque innovador en su enfoque de vishing, SpyBanker comparte un ADN común con otros troyanos bancarios importantes para Android.
Si los ataques de retransmisión NFC y el secuestro de llamadas representan la vanguardia de las tácticas de fraude, la explotación de vulnerabilidades a nivel de kernel es la base que permite el control absoluto y persistente del dispositivo. El abuso de fallos en frameworks de rooteo como KernelSU otorga a los atacantes el "santo grial" de la ciberseguridad móvil: el acceso root.
KernelSU es una solución moderna de rooteo para Android que, a diferencia de los métodos más antiguos, integra la gestión de los privilegios de superusuario directamente en el kernel del sistema operativo. Esto lo hace extremadamente potente, pero también lo convierte en un objetivo de alto valor para los atacantes.
La escalada de privilegios es el acto de explotar un error, un fallo de diseño o una vulnerabilidad para obtener un acceso elevado a recursos que normalmente están protegidos. Obtener acceso root en un sistema basado en Linux como Android es la forma definitiva de escalada de privilegios.
El caso de KernelSU no es un incidente aislado, sino que pone de manifiesto un riesgo sistémico asociado con el uso de herramientas de rooteo de terceros.
Para comprender plenamente la sofisticación de estas amenazas, es crucial analizar no solo su comportamiento, sino también su construcción a nivel de código. Aunque el código fuente completo y propietario es inaccesible, el análisis de su linaje y la reconstrucción de fragmentos conceptuales revelan sus mecanismos internos.
La investigación ha establecido de manera concluyente que el malware de retransmisión NFC como NGate y SuperCard X no fue creado desde cero. En cambio, son bifurcaciones (forks) instrumentalizadas del proyecto académico de código abierto NFCGate, desarrollado por estudiantes de la Universidad Técnica de Darmstadt y disponible públicamente en GitHub.
NFCGate fue diseñado como un kit de herramientas de investigación para capturar, analizar y modificar el tráfico NFC, con una funcionalidad clave llamada "Relay Mode" (Modo de Retransmisión). Este modo es precisamente lo que los actores de amenazas han abusado. Utiliza dos dispositivos Android: uno actúa como "lector" para capturar los datos de la tarjeta de la víctima, y el otro emula la tarjeta usando la Emulación de Tarjeta Basada en Host (HCE) de Android para interactuar con un terminal de pago. La comunicación entre ambos se realiza a través de un servidor.
Fragmento Conceptual: Servicio de Emulación de Tarjeta (HCE)
Para que la aplicación del atacante ("Tapper") emule la tarjeta de la víctima, implementaría un HostApduService. Este servicio es el punto de entrada para que el sistema operativo Android le envíe los paquetes de datos (APDU) del lector NFC. El registro de este servicio en el AndroidManifest.xml del atacante se vería así:
XML
<service android:name=".HceTapperService" android:exported="true" android:permission="android.permission.BIND_NFC_SERVICE"> <intent-filter> <action android:name="android.nfc.cardemulation.action.HOST_APDU_SERVICE"/> </intent-filter> <meta-data android:name="android.nfc.cardemulation.host_apdu_service" android:resource="@xml/apduservice"/></service>
El servicio HceTapperService recibiría los datos del terminal, los enviaría a través de la red al teléfono de la víctima (la aplicación "Reader"), esperaría la respuesta de la tarjeta física de la víctima y luego devolvería esa respuesta al terminal, completando la retransmisión.
Este malware utiliza dos técnicas principales para interceptar las comunicaciones telefónicas.
Técnica 1: Desvío de Llamadas con Códigos MMI
Las variantes más simples modifican la configuración de desvío de llamadas del sistema. El malware registra un servicio en segundo plano, como CallForwardingService, para editar el número de desvío de llamadas a un número controlado por el atacante. Esto se puede lograr mediante la ejecución de códigos MMI (Man-Machine Interface) a través de un
Intent de llamada.
Fragmento Conceptual: Activación de Desvío de Llamadas
Java
// El número del atacante al que se desviarán las llamadasString attackerPhoneNumber = "123456789"; // Código MMI para desvío incondicional: **21*NUMERO#String callForwardString = "**21*" + attackerPhoneNumber + "#";Intent intentCallForward = new Intent(Intent.ACTION_CALL);Uri uri = Uri.fromParts("tel", callForwardString, "#");intentCallForward.setData(uri);// Requiere el permiso <uses-permission android:name="android.permission.CALL_PHONE" />startActivity(intentCallForward);
Técnica 2: Secuestro del Manejador de Llamadas Predeterminado
Una técnica más avanzada y sigilosa, utilizada por malware como FakeCall, es establecerse como la aplicación de teléfono predeterminada. Esto le otorga control total sobre las llamadas. Para lograrlo, la aplicación maliciosa debe solicitar al usuario que la establezca como predeterminada, a menudo mediante engaños. En versiones modernas de Android (10+), esto se hace a través del RoleManager.
Fragmento Conceptual: Solicitud para ser el Manejador de Llamadas Predeterminado
Kotlin
// En Android 10 (API 29) y superiorval roleManager = getSystemService(Context.ROLE_SERVICE) as RoleManager// Comprobar si la app ya tiene el rolif (roleManager.isRoleAvailable(RoleManager.ROLE_CALL_REDIRECTION) && !roleManager.isRoleHeld(RoleManager.ROLE_CALL_REDIRECTION)) { // Solicitar el rol al usuario val intent = roleManager.createRequestRoleIntent(RoleManager.ROLE_CALL_REDIRECTION) startActivityForResult(intent, REQUEST_CODE)}
Una vez que es el manejador predeterminado, el malware puede interceptar una llamada saliente a un banco, mostrar una pantalla de llamada falsa, pero en segundo plano, conectar la llamada a los estafadores.28
El exploit de CVE-2023-49794 no se basa en un código complejo que corrompe la memoria, sino en una falla de lógica de autenticación.7 El módulo del kernel de KernelSU verifica el nombre del paquete de la aplicación que solicita privilegios de superusuario, pero esta verificación puede ser eludida.
El "código" del exploit es una simple declaración en el archivo de manifiesto de la aplicación maliciosa.
Fragmento Conceptual: Manifiesto del APK Malicioso
El atacante simplemente necesita crear una aplicación y establecer su nombre de paquete como el del gestor oficial de KernelSU en su archivo AndroidManifest.xml:
XML
<manifest xmlns:android="http://schemas.android.com/apk/res/android" package="me.weishu.kernelsu"> <application android:label="@string/app_name" ...> ... </application></manifest>
Cuando un usuario con una versión vulnerable de KernelSU instala este APK, el módulo del kernel lo autentica incorrectamente como si fuera la aplicación legítima, otorgándole plenos privilegios de root.7
Estimar el impacto económico preciso del malware bancario móvil es una tarea notoriamente difícil. Las instituciones financieras a menudo no informan de la totalidad de las pérdidas para proteger su reputación, y muchas víctimas individuales no denuncian los fraudes de menor cuantía. Las cifras que se presentan a continuación se basan en datos públicos disponibles de agencias gubernamentales, empresas de seguridad e informes de noticias, y es probable que representen una estimación conservadora del verdadero daño financiero.
Brasil se ha consolidado como un punto caliente global para el malware financiero, ocupando el segundo lugar a nivel mundial en fraude de banca en línea.40 La rápida digitalización del país, la alta adopción de la banca móvil (8 de cada 10 transacciones son digitales) y la ubicuidad del sistema de pagos instantáneos PIX crean un terreno fértil para el fraude.41
La masiva y creciente economía digital de la India la ha convertido en un objetivo principal. La sofisticación de las campañas de malware y phishing ha provocado un aumento alarmante de las pérdidas financieras.
El análisis de PhantomCard, SpyBanker y las vulnerabilidades a nivel de kernel revela una verdad ineludible: la amenaza moderna a la banca móvil ya no es un simple ataque automatizado. Es interactiva, en tiempo real y está impulsada por un ecosistema criminal global y mercantilizado. Los atacantes están instrumentalizando herramientas de código abierto, combinando malware sofisticado con ingeniería social dirigida, y cambiando su enfoque del robo de datos estáticos al secuestro de transacciones y sesiones en vivo.
El futuro del fraude bancario móvil estará cada vez más definido por la convergencia de la ingeniería social impulsada por IA (por ejemplo, vishing con voz deepfake), el secuestro de sesiones en tiempo real y los ataques a la infraestructura subyacente de las finanzas digitales. El campo de batalla se está desplazando de la contraseña del usuario a la sesión en vivo del usuario y a los propios protocolos de confianza que sustentan las transacciones digitales. Las defensas deben volverse igualmente dinámicas, inteligentes y conscientes del contexto para tener una oportunidad de éxito.
