ToxicPanda 2.0: una VPN falsa desactiva la protección de Android

Investigadores de seguridad móvil han descubierto una nueva versión del troyano ToxicPanda para Android. Utiliza el permiso de VPN para desactivar los mecanismos de protección integrados de Google y después robar los datos de los usuarios.

Según la empresa Zimperium, el programa malicioso actúa de forma discreta: muestra una pantalla de instalación falsa y pide activar una VPN. La petición parece normal, ya que los servicios VPN legítimos utilizan el mismo permiso del sistema. Pero ToxicPanda lo usa para atacar, no para proteger el tráfico.

Una vez obtiene el acceso, el troyano crea una interfaz de red local entre el teléfono y la red. Así controla el tráfico que pasa por ella y bloquea de inmediato la conexión con Google Play y Google Play Services. Como consecuencia, Google Play Protect —el servicio integrado en Android que analiza las aplicaciones y puede detectar o eliminar programas maliciosos— pierde la comunicación con el dispositivo.

Al interrumpir esa conexión, se impiden el análisis de aplicaciones, las actualizaciones y el funcionamiento de los mecanismos de seguridad. Con el teléfono prácticamente «a ciegas», ToxicPanda puede descifrar la carga maliciosa oculta en su interior e instalar un programa adicional encubierto. Después, el troyano solicita permiso para acceder a Accessibility Service, un servicio de accesibilidad que puede leer el contenido de la pantalla y actuar en nombre del usuario.

ToxicPanda 2.0 es mucho más peligroso que la primera versión. Según Zimperium, esta nueva variante admite 167 comandos remotos. Puede mostrar ventanas de inicio de sesión falsas sobre 349 aplicaciones bancarias, de monederos electrónicos y de criptomonedas en 16 países. Antes, el troyano solo apuntaba a 16 aplicaciones.

Un módulo independiente del programa malicioso roba los PIN de más de 140 aplicaciones financieras mediante superposiciones invisibles que interceptan las pulsaciones del usuario. Además, el troyano puede imitar la pantalla de bloqueo de Android para obtener el PIN, el patrón o la contraseña.

ToxicPanda también abusa de Wireless Debugging, conocida como ADB. Esta función está pensada para depurar dispositivos Android, pero en manos del troyano puede dar acceso al terminal de comandos y permitirle concederse permisos sin las solicitudes habituales.

La primera versión de ToxicPanda apareció en 2024 y atacó a bancos europeos. En los últimos meses, otro programa malicioso similar, Rokarolla, también ha llegado a cientos de aplicaciones bancarias y de criptomonedas.

La mejor protección es impedir que el troyano llegue al teléfono. Instala aplicaciones desde Google Play y no descargues archivos APK desde enlaces, anuncios o sitios de terceros. Aun así, no basta con que algo aparezca en la «tienda oficial» para bajar la guardia: ya han circulado enlaces a VPN peligrosas incluso en tiendas oficiales de aplicaciones.

Cualquier solicitud inesperada para activar una VPN debe despertar sospechas. Una VPN convencional sigue siendo una herramienta útil para la privacidad, pero su permiso da a la aplicación un control considerable sobre el tráfico de red. Por eso conviene concederlo solo a programas en los que realmente confíes.