Diferencia entre revisiones de «ToxicPanda»

Revisión actual - 14:37 24 ago 2026

ToxicPanda es un troyano bancario para dispositivos Android que ha evolucionado significativamente desde su detección inicial. Su última versión, conocida como ToxicPanda 2.0, representa un salto cualitativo en sofisticación y alcance, convirtiéndose en una de las amenazas móviles más peligrosas del momento.

A diferencia de otros troyanos bancarios, ToxicPanda se caracteriza por su capacidad para abusar de funciones legítimas de Android, como los servicios de accesibilidad y la depuración inalámbrica (ADB), para tomar el control total del dispositivo y ejecutar fraudes directamente desde el teléfono de la víctima.

Origen y evolución

Primera etapa (2022-2023)

ToxicPanda fue identificado por primera vez en 2022 en el sudeste asiático, donde operaba con capacidades limitadas y una distribución geográfica restringida.

Expansión a Europa (2024)

En 2024, sus campañas se trasladaron a Europa, afectando principalmente a Portugal, Italia y España, con una botnet activa de más de 1.500 dispositivos infectados.

ToxicPanda 2.0 (2024-2025)

La versión 2.0, descubierta por el equipo de investigación zLabs de Zimperium, ha ampliado drásticamente sus capacidades y su objetivo:

349 aplicaciones bancarias, financieras, de carteras digitales y de criptomonedas en 16 países.
Módulo específico para robar PINs de 140 aplicaciones financieras y de criptomonedas.
Soporte para 167 comandos remotos diferentes, permitiendo un control granular del dispositivo.

¿Cómo funciona?

ToxicPanda 2.0 se basa en una combinación de técnicas que abusan de funciones legítimas de Android para tomar el control del dispositivo. El objetivo final es el fraude en el propio dispositivo, lo que significa que los atacantes operan desde el teléfono infectado de la víctima para eludir los sistemas de seguridad bancaria.

1. Distribución e ingeniería social

La infección comienza con una campaña de ingeniería social. El malware se distribuye a través de archivos APK alojados en buckets de Amazon AWS. Los atacantes engañan a los usuarios para que descarguen e instalen una aplicación maliciosa que simula ser legítima (sideloading).

2. Permiso VPN: Bloqueo de Google Play

Una vez instalada, la aplicación "dropper" solicita al usuario permisos de VPN (Red Privada Virtual). Al conceder este permiso, ToxicPanda crea una interfaz de red local que le permite controlar y bloquear el tráfico entrante y saliente del dispositivo.

Con este control, el malware bloquea las comunicaciones con Google Play y Google Play Services. Esto impide:

La verificación de aplicaciones.
Las actualizaciones de seguridad.
La comunicación con Google Play Protect.

Este bloqueo dificulta la detección y eliminación del malware.

3. Abuso de los Servicios de Accesibilidad

Tras bloquear Google Play, el malware extrae e instala su carga maliciosa (payload) y solicita permisos de Accesibilidad (Accessibility Service). Si el usuario concede este permiso, ToxicPanda obtiene un control inmenso sobre el dispositivo, pudiendo:

Leer el contenido de la pantalla para extraer información.
Simular toques para navegar por el sistema y aceptar permisos por sí mismo.
Crear "superposiciones" (overlays) para mostrar pantallas falsas sobre aplicaciones legítimas.

4. Captura de credenciales y PINs

Con el control de la Accesibilidad, ToxicPanda 2.0 puede robar credenciales de dos formas principales:

Superposiciones invisibles: Cuando el usuario abre una aplicación bancaria o de criptomonedas, el malware superpone una capa transparente que captura los toques en la pantalla, robando el PIN o la contraseña sin que el usuario lo note.
Pantalla de bloqueo falsa: ToxicPanda puede mostrar una pantalla de bloqueo de Android falsa e idéntica a la real para interceptar el PIN, patrón o contraseña de desbloqueo del dispositivo.

5. Secuestro de ADB inalámbrico (Wireless Debugging)

La característica más sofisticada de ToxicPanda 2.0 es su capacidad para abusar del Android Debug Bridge (ADB) de forma inalámbrica.

Una vez que tiene permisos de Accesibilidad, el malware:

1. **Activa las Opciones de Desarrollador**: Simula automáticamente siete toques consecutivos en el "Número de compilación" para habilitar el modo desarrollador. 2. **Activa la Depuración Inalámbrica**: Navega a la sección de Depuración Inalámbrica en los ajustes y la activa. 3. **Se empareja con ADB**: Lee el código de emparejamiento de seis dígitos y el puerto que aparecen en pantalla, y establece una conexión con el servicio ADB local. 4. **Obtiene acceso a la shell**: Una vez emparejado, el malware ejecuta comandos con permisos de "shell", que tienen un alto nivel de privilegio.

Con acceso a la shell, el malware puede ejecutar comandos para:

Otorgarse permisos adicionales a sí mismo.
Desactivar restricciones de ahorro de batería para garantizar su persistencia en dispositivos de marcas como Xiaomi, OPPO, Vivo, Samsung y Huawei.
Activar componentes críticos sin notificación.
Establecer mecanismos de persistencia profunda en el sistema.

Capacidades técnicas

| Característica | Detalle | |----------------|---------| | Comandos remotos | Soporta 167 comandos remotos diferentes para control granular | | Actualización dinámica | La lista de aplicaciones objetivo se actualiza desde el servidor C2 | | Exfiltración de datos | Utiliza HTTPS/WebSockets para comunicarse con el C2 | | Evasión | Bloquea Google Play Protect y ofusca su código | | Cifrado | Utiliza AES-ECB para cifrar sus comunicaciones |

Mitigaciones recomendadas

Para protegerse contra ToxicPanda y otros troyanos bancarios similares, se recomiendan las siguientes medidas:

Para usuarios

Evitar el "sideloading": No instale aplicaciones de fuentes no oficiales o a través de enlaces sospechosos en mensajes o anuncios.
Desconfiar de permisos excesivos: Sea especialmente cauteloso si una aplicación solicita permisos de:

   * VPN
   * Accesibilidad
   * Administrador de dispositivos
   * Opciones de desarrollador
   * Depuración inalámbrica
   Si no hay una razón clara para ello, deniegue el permiso.

Mantener el software actualizado: Mantenga el sistema operativo y las aplicaciones actualizadas para beneficiarse de los parches de seguridad.
Usar una solución de seguridad móvil: Instale una solución antimalware para dispositivos móviles que ofrezca protección en tiempo real.

Para organizaciones

Implementar políticas de MDM (Mobile Device Management): Para controlar qué aplicaciones pueden instalarse en los dispositivos corporativos.
Restringir la instalación de aplicaciones de fuentes desconocidas: Mediante políticas de grupo o soluciones de gestión de dispositivos.
Monitorizar el tráfico de red: Detectar patrones de comunicación con C2 sospechosos.
Formación y concienciación: Capacitar a los empleados sobre los riesgos de la instalación de aplicaciones no oficiales.

Relación con otros conceptos

Troyanos: ToxicPanda es un troyano que se hace pasar por una aplicación legítima.
Malware: Es un tipo de software malicioso diseñado para Android.
Ingeniería social: Su principal vector de infección es el engaño al usuario.
Cifrado: Utiliza cifrado (como AES-ECB) para sus comunicaciones C2.
Spyware: Capacidades de espionaje mediante la lectura de pantalla y captura de credenciales.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Véase también

Esta página forma parte de la Categoría:Familias de malware.

@@ Línea 1: / Línea 1: @@
 [[Categoría:Familias de malware]]
+'''ToxicPanda''' es un troyano bancario para dispositivos Android que ha evolucionado significativamente desde su detección inicial. Su última versión, conocida como '''ToxicPanda 2.0''', representa un salto cualitativo en sofisticación y alcance, convirtiéndose en una de las amenazas móviles más peligrosas del momento.
-= ToxicPanda =
+A diferencia de otros troyanos bancarios, ToxicPanda se caracteriza por su capacidad para abusar de funciones legítimas de Android, como los servicios de accesibilidad y la depuración inalámbrica (ADB), para tomar el control total del dispositivo y ejecutar fraudes directamente desde el teléfono de la víctima.
-'''ToxicPanda''' es un troyano bancario para dispositivos Android que ha evolucionado significativamente desde su detección inicial. Su última versión, conocida como '''ToxicPanda 2.0''', representa un salto cualitativo en sofisticación y alcance, convirtiéndose en una de las amenazas móviles más peligrosas del momento. [citation:5][citation:9]
+== Origen y evolución ==
-== Origen y evolución ==
+=== Primera etapa (2022-2023) ===
+ToxicPanda fue identificado por primera vez en '''2022''' en el sudeste asiático, donde operaba con capacidades limitadas y una distribución geográfica restringida.
+=== Expansión a Europa (2024) ===
+En '''2024''', sus campañas se trasladaron a Europa, afectando principalmente a '''Portugal, Italia y España''', con una botnet activa de más de '''1.500 dispositivos infectados'''.
-ToxicPanda fue identificado por primera vez en 2022 en el sudeste asiático [citation:6]. Posteriormente, en 2024, sus campañas se trasladaron a Europa, afectando principalmente a Portugal, Italia y España, con una botnet activa de más de 1.500 dispositivos infectados. [citation:9]
+=== ToxicPanda 2.0 (2024-2025) ===
+La versión '''2.0''', descubierta por el equipo de investigación zLabs de Zimperium, ha ampliado drásticamente sus capacidades y su objetivo:
-La versión 2.0, descubierta por el equipo de investigación zLabs de Zimperium, ha ampliado drásticamente sus capacidades y su objetivo. [citation:5] Actualmente, el malware apunta a 349 aplicaciones bancarias, financieras, de carteras digitales y de criptomonedas en 16 países, con un módulo específico para robar PINs de 140 aplicaciones financieras y de criptomonedas. [citation:1][citation:5][citation:7]
+* '''349 aplicaciones''' bancarias, financieras, de carteras digitales y de criptomonedas en '''16 países'''.
+* Módulo específico para robar PINs de '''140 aplicaciones''' financieras y de criptomonedas.
+* Soporte para '''167 comandos remotos''' diferentes, permitiendo un control granular del dispositivo.
 == ¿Cómo funciona? ==
-ToxicPanda 2.0 se basa en una combinación de técnicas que abusan de funciones legítimas de Android para tomar el control del dispositivo. El objetivo final es el '''fraude en el propio dispositivo''', lo que significa que los atacantes operan desde el teléfono infectado de la víctima para eludir los sistemas de seguridad bancaria. [citation:2]
+ToxicPanda 2.0 se basa en una combinación de técnicas que abusan de funciones legítimas de Android para tomar el control del dispositivo. El objetivo final es el '''fraude en el propio dispositivo''', lo que significa que los atacantes operan desde el teléfono infectado de la víctima para eludir los sistemas de seguridad bancaria.
-### 1. Distribución e ingeniería social
+=== 1. Distribución e ingeniería social ===
-La infección comienza con una campaña de '''ingeniería social'''. El malware se distribuye a través de archivos APK alojados en buckets de Amazon AWS. [citation:1][citation:2] Los atacantes engañan a los usuarios para que descarguen e instalen una aplicación maliciosa que simula ser legítima (sideloading). [citation:2]
+La infección comienza con una campaña de '''ingeniería social'''. El malware se distribuye a través de archivos APK alojados en buckets de '''Amazon AWS'''. Los atacantes engañan a los usuarios para que descarguen e instalen una aplicación maliciosa que simula ser legítima ('''sideloading''').
-### 2. Permiso VPN: Bloqueo de Google Play
+=== 2. Permiso VPN: Bloqueo de Google Play ===
-Una vez instalada, la aplicación "dropper" solicita al usuario permisos de '''VPN''' (Red Privada Virtual). [citation:1][citation:7] Al conceder este permiso, ToxicPanda crea una interfaz de red local que le permite controlar y bloquear el tráfico entrante y saliente del dispositivo. [citation:1]
+Una vez instalada, la aplicación "dropper" solicita al usuario permisos de '''VPN''' (Red Privada Virtual). Al conceder este permiso, ToxicPanda crea una interfaz de red local que le permite controlar y bloquear el tráfico entrante y saliente del dispositivo.
-Con este control, el malware '''bloquea las comunicaciones con Google Play y Google Play Services'''. [citation:1][citation:4][citation:7] Esto impide la verificación de aplicaciones, las actualizaciones de seguridad y la comunicación con Google Play Protect, dificultando la detección y eliminación del malware. [citation:1][citation:7]
+Con este control, el malware '''bloquea las comunicaciones con Google Play y Google Play Services'''. Esto impide:
+* La verificación de aplicaciones.
+* Las actualizaciones de seguridad.
+* La comunicación con Google Play Protect.
-### 3. Abuso de los Servicios de Accesibilidad
+Este bloqueo dificulta la detección y eliminación del malware.
-Tras bloquear Google Play, el malware extrae e instala su carga maliciosa (payload) y solicita permisos de '''Accesibilidad''' (Accessibility Service). [citation:1][citation:2] Si el usuario concede este permiso, ToxicPanda obtiene un control inmenso sobre el dispositivo, pudiendo:
+=== 3. Abuso de los Servicios de Accesibilidad ===
-* **Leer el contenido de la pantalla** para extraer información.
+Tras bloquear Google Play, el malware extrae e instala su carga maliciosa (payload) y solicita permisos de '''Accesibilidad''' (Accessibility Service). Si el usuario concede este permiso, ToxicPanda obtiene un control inmenso sobre el dispositivo, pudiendo:
-* **Simular toques** para navegar por el sistema y aceptar permisos por sí mismo.
-* **Crear "superposiciones" (overlays)** para mostrar pantallas falsas sobre aplicaciones legítimas. [citation:3]
-### 4. Captura de credenciales y PINs
+* '''Leer el contenido de la pantalla''' para extraer información.
+* '''Simular toques''' para navegar por el sistema y aceptar permisos por sí mismo.
+* '''Crear "superposiciones" (overlays)''' para mostrar pantallas falsas sobre aplicaciones legítimas.
+=== 4. Captura de credenciales y PINs ===
 Con el control de la Accesibilidad, ToxicPanda 2.0 puede robar credenciales de dos formas principales:
-* **Superposiciones invisibles**: Cuando el usuario abre una aplicación bancaria o de criptomonedas, el malware superpone una capa transparente que captura los toques en la pantalla, robando el PIN o la contraseña sin que el usuario lo note. [citation:1][citation:3]
+* '''Superposiciones invisibles''': Cuando el usuario abre una aplicación bancaria o de criptomonedas, el malware superpone una capa transparente que captura los toques en la pantalla, robando el PIN o la contraseña sin que el usuario lo note.
-* **Pantalla de bloqueo falsa**: ToxicPanda puede mostrar una pantalla de bloqueo de Android falsa e idéntica a la real para interceptar el PIN, patrón o contraseña de desbloqueo del dispositivo. [citation:2][citation:3]
+* '''Pantalla de bloqueo falsa''': ToxicPanda puede mostrar una pantalla de bloqueo de Android falsa e idéntica a la real para interceptar el PIN, patrón o contraseña de desbloqueo del dispositivo.
-### 5. Secuestro de ADB inalámbrico (Wireless Debugging)
+=== 5. Secuestro de ADB inalámbrico (Wireless Debugging) ===
-La característica más sofisticada de ToxicPanda 2.0 es su capacidad para abusar del '''Android Debug Bridge (ADB)''' de forma inalámbrica. [citation:1][citation:3][citation:12]
+La característica más sofisticada de ToxicPanda 2.0 es su capacidad para abusar del '''Android Debug Bridge (ADB)''' de forma inalámbrica.
 Una vez que tiene permisos de Accesibilidad, el malware:
@@ Línea 49: / Línea 62: @@
 .  **Activa la Depuración Inalámbrica**: Navega a la sección de Depuración Inalámbrica en los ajustes y la activa.
 .  **Se empareja con ADB**: Lee el código de emparejamiento de seis dígitos y el puerto que aparecen en pantalla, y establece una conexión con el servicio ADB local.
-.  **Obtiene acceso a la shell**: Una vez emparejado, el malware ejecuta comandos con permisos de "shell", que tienen un alto nivel de privilegio. [citation:4][citation:8]
+.  **Obtiene acceso a la shell**: Una vez emparejado, el malware ejecuta comandos con permisos de "shell", que tienen un alto nivel de privilegio.
 Con acceso a la shell, el malware puede ejecutar comandos para:
-* Otorgarse permisos adicionales a sí mismo. [citation:4]
-* Desactivar restricciones de ahorro de batería para garantizar su persistencia en dispositivos de marcas como Xiaomi, OPPO, Vivo, Samsung y Huawei. [citation:1]
+* Otorgarse permisos adicionales a sí mismo.
+* Desactivar restricciones de ahorro de batería para garantizar su persistencia en dispositivos de marcas como Xiaomi, OPPO, Vivo, Samsung y Huawei.
 * Activar componentes críticos sin notificación.
-* Establecer mecanismos de persistencia profunda en el sistema. [citation:4]
+* Establecer mecanismos de persistencia profunda en el sistema.
-== Capacidades y alcance ==
+== Capacidades técnicas ==
-* **Comandos Remotos**: Soporta '''167 comandos remotos''' diferentes, lo que le permite a los atacantes controlar el dispositivo infectado de forma muy granular. [citation:1][citation:5]
+| Característica | Detalle |
-* **Actualización Dinámica**: La lista de aplicaciones bancarias objetivo se puede actualizar de forma dinámica desde el servidor de comando y control (C2). [citation:3]
+|----------------|---------|
-* **Exfiltración de Datos**: Utiliza protocolos web (HTTPS/WebSockets) para comunicarse con su C2 y exfiltrar los datos robados. [citation:8]
+| '''Comandos remotos''' | Soporta 167 comandos remotos diferentes para control granular |
-* **Evasión**: Puede bloquear Google Play Protect y ofuscar su código para dificultar el análisis. [citation:8]
+| '''Actualización dinámica''' | La lista de aplicaciones objetivo se actualiza desde el servidor C2 |
+| '''Exfiltración de datos''' | Utiliza HTTPS/WebSockets para comunicarse con el C2 |
+| '''Evasión''' | Bloquea Google Play Protect y ofusca su código |
+| '''Cifrado''' | Utiliza AES-ECB para cifrar sus comunicaciones |
-== ¿Cómo protegerse? ==
+== Mitigaciones recomendadas ==
-La defensa contra ToxicPanda 2.0 se basa en la prevención y la concienciación, ya que el malware depende en gran medida del engaño al usuario. [citation:2]
+Para protegerse contra ToxicPanda y otros troyanos bancarios similares, se recomiendan las siguientes medidas:
-* **Evitar el "sideloading"**: No instale aplicaciones de fuentes no oficiales o a través de enlaces sospechosos en mensajes o anuncios. [citation:2]
+=== Para usuarios ===
-* **Desconfiar de permisos excesivos**: Sea especialmente cauteloso si una aplicación solicita permisos de **VPN, Accesibilidad, Administrador de dispositivos, Opciones de desarrollador o Depuración inalámbrica**. Si no hay una razón clara para ello, deniegue el permiso. [citation:2]
-* **Mantener el software actualizado**: Mantenga el sistema operativo y las aplicaciones actualizadas para beneficiarse de los parches de seguridad.
+* '''Evitar el "sideloading"''': No instale aplicaciones de fuentes no oficiales o a través de enlaces sospechosos en mensajes o anuncios.
-* **Usar una solución de seguridad móvil**: Instale una solución antimalware para dispositivos móviles que ofrezca protección en tiempo real y pueda detectar cargas maliciosas de troyanos como ToxicPanda. [citation:2]
+* '''Desconfiar de permisos excesivos''': Sea especialmente cauteloso si una aplicación solicita permisos de:
+    * VPN
+    * Accesibilidad
+    * Administrador de dispositivos
+    * Opciones de desarrollador
+    * Depuración inalámbrica
+    Si no hay una razón clara para ello, deniegue el permiso.
+* '''Mantener el software actualizado''': Mantenga el sistema operativo y las aplicaciones actualizadas para beneficiarse de los parches de seguridad.
+* '''Usar una solución de seguridad móvil''': Instale una solución antimalware para dispositivos móviles que ofrezca protección en tiempo real.
+=== Para organizaciones ===
+* '''Implementar políticas de MDM''' (Mobile Device Management): Para controlar qué aplicaciones pueden instalarse en los dispositivos corporativos.
+* '''Restringir la instalación de aplicaciones de fuentes desconocidas''': Mediante políticas de grupo o soluciones de gestión de dispositivos.
+* '''Monitorizar el tráfico de red''': Detectar patrones de comunicación con C2 sospechosos.
+* '''Formación y concienciación''': Capacitar a los empleados sobre los riesgos de la instalación de aplicaciones no oficiales.
 == Relación con otros conceptos ==
@@ Línea 77: / Línea 109: @@
 * '''[[Troyanos]]''': ToxicPanda es un troyano que se hace pasar por una aplicación legítima.
 * '''[[Malware]]''': Es un tipo de software malicioso diseñado para Android.
-* '''[[Ingeniería Social]]''': Su principal vector de infección es el engaño al usuario para que instale la aplicación maliciosa.
+* '''[[Ingeniería social]]''': Su principal vector de infección es el engaño al usuario.
-* '''[[Cifrado]]''': Utiliza cifrado (como AES-ECB) para sus comunicaciones C2. [citation:8]
+* '''[[Cifrado]]''': Utiliza cifrado (como AES-ECB) para sus comunicaciones C2.
+* '''[[Spyware]]''': Capacidades de espionaje mediante la lectura de pantalla y captura de credenciales.
 * [[Mitigaciones Troyanos|Relación de acciones para mitigar el riesgo de esta actividad maliciosa]].
 == Véase también ==
@@ Línea 90: / Línea 122: @@
 * [[Spyware]]
 * [[Ciberdelincuentes]]
-* [[Ingeniería Social]]
+* [[Ingeniería social]]
 * [[Anubis]]
 * [[Joker]]