Un troyano de Android con IA aprende a robar datos bancarios y resucitar tras ser eliminado
Investigadores de Zimperium zLabs han descubierto un nuevo malware para Android, RedHat: un troyano bancario con una característica poco habitual, ya que utiliza un asistente de IA para controlar el móvil infectado. Según los especialistas, el malware podría tener origen chino. Por ahora se desconoce quién es exactamente su objetivo y cuántos dispositivos se han visto comprometidos.
RedHat se distribuye a través de tiendas de aplicaciones de terceros, redes sociales, anuncios maliciosos y campañas masivas de SMS. Para funcionar necesita el permiso de Accesibilidad de Android, un conjunto de funciones destinado a personas con limitaciones visuales o motrices. En la práctica, este permiso permite a una aplicación ver los elementos de la interfaz y realizar acciones en pantalla, por lo que los ciberdelincuentes suelen intentar obtenerlo.
Por su función principal, RedHat es un troyano bancario típico. Cuando el usuario abre una aplicación bancaria, el malware superpone una capa invisible. A través de ella intercepta el nombre de usuario, la contraseña y los códigos de confirmación de un solo uso. Con esos datos, los delincuentes pueden intentar acceder a la cuenta bancaria y disponer del dinero de la víctima.
La principal diferencia de RedHat es su componente de IA. El troyano captura lo que aparece en la pantalla y se lo envía a su asistente. El modelo analiza la imagen e indica al malware qué hacer a continuación: dónde pulsar, qué campo rellenar y cómo pasar al siguiente paso de la operación. En otras palabras, el teléfono recibe «ojos y manos» a distancia, pero sin el consentimiento de su dueño.
Antes, los troyanos bancarios solían seguir un guion rígido. Sus desarrolladores programaban de antemano las coordenadas de botones y campos: aquí se introduce la contraseña, allí está el botón de inicio de sesión. Si el banco cambiaba el diseño de la aplicación, ese método podía dejar de funcionar. La IA hace que el malware sea más flexible: se orienta por el aspecto actual de la pantalla, en lugar de seguir un mapa de la interfaz escrito de antemano.
Zimperium afirma que RedHat puede desplazarse por la interfaz de forma inteligente y controlar el dispositivo en tiempo real. Esto hace que sus operaciones sean más adaptables y potencialmente más difíciles de detectar para los programas de seguridad que la automatización tradicional basada en guiones predefinidos.
El troyano también cuenta con mecanismos de persistencia. Puede volver a instalar componentes eliminados y, si se intenta desinstalarlo, interceptar el proceso y cancelarlo. Al usuario se le muestra un mensaje de error falso, que da la impresión de que no es posible eliminar la aplicación debido a un fallo técnico.
Los especialistas aún no han revelado el ámbito geográfico de la campaña, quiénes serían sus víctimas ni la magnitud de la infección. Pero el método muestra una evolución preocupante de las amenazas móviles: el malware ya no necesita conocer al detalle la estructura de una aplicación; le basta con aprender a mirar la pantalla, tomar decisiones y fingir un error en el momento oportuno.
PEREC.RU
El nuevo troyano para Android RedHat combina funciones de malware bancario con un asistente de IA que le permite controlar en tiempo real la interfaz del móvil infectado. Los investigadores de Zimperium zLabs han informado de la amenaza y creen que podría tener origen chino. RedHat se distribuye actualmente a través de tiendas de aplicaciones de terceros, redes sociales, anuncios maliciosos y spam por SMS.
Para funcionar, el troyano necesita el permiso de Accesibilidad de Android. Este conjunto de funciones está pensado para ayudar a personas con limitaciones visuales o motrices, pero, si lo obtienen los ciberdelincuentes, permite a la aplicación leer los elementos de la pantalla y realizar acciones en nombre del dueño del dispositivo.
RedHat es un troyano bancario. Cuando se abre una aplicación bancaria, el malware superpone una capa invisible a la interfaz real. Así puede interceptar nombres de usuario, contraseñas y códigos de confirmación de un solo uso. Los delincuentes pueden utilizar la información obtenida para intentar tomar el control de cuentas bancarias.
La característica clave de RedHat es su componente de IA. El troyano captura la pantalla y envía la imagen a un asistente, que la analiza e indica los pasos siguientes. Puede localizar el campo o el botón necesarios y guiar al malware en la siguiente fase de la operación.
Este método difiere del funcionamiento tradicional de los troyanos bancarios, cuyos desarrolladores suelen fijar de antemano las coordenadas exactas de los elementos de la interfaz. Si una aplicación bancaria cambia el diseño o la ubicación de campos y botones, el guion malicioso puede dejar de funcionar. RedHat, en cambio, se orienta por la imagen actual de la pantalla y, por ello, podría adaptarse mejor a los cambios.
Zimperium afirma que el control de la interfaz con IA en tiempo real hace que RedHat sea más adaptable y potencialmente más difícil de detectar para las soluciones de seguridad que el malware basado en guiones predefinidos.
Además de robar datos bancarios, RedHat cuenta con mecanismos para permanecer en el sistema. Puede volver a instalar componentes eliminados. Si se intenta desinstalar el troyano, el malware puede interceptar el proceso, cancelarlo y mostrar al usuario un mensaje de error falso. El dueño del dispositivo puede creer que se trata de un problema técnico mientras el programa sigue funcionando.
Los investigadores aún no han comunicado qué grupos de usuarios están siendo atacados, cuántos dispositivos están infectados ni cuál es la magnitud total de la campaña. Aun así, RedHat muestra una nueva dirección en la evolución de las amenazas móviles: los programas maliciosos empiezan a utilizar la IA no solo para analizar datos, sino también para navegar por su cuenta por la interfaz de un móvil. Para protegerse, se recomienda evitar las tiendas de aplicaciones de terceros, no instalar programas de fuentes no verificadas y prestar atención a las solicitudes del permiso de Accesibilidad de Android.
