ToxicPanda

ToxicPanda es un troyano bancario para dispositivos Android que ha evolucionado significativamente desde su detección inicial. Su última versión, conocida como ToxicPanda 2.0, representa un salto cualitativo en sofisticación y alcance, convirtiéndose en una de las amenazas móviles más peligrosas del momento. [citation:5][citation:9]

Origen y evolución

ToxicPanda fue identificado por primera vez en 2022 en el sudeste asiático [citation:6]. Posteriormente, en 2024, sus campañas se trasladaron a Europa, afectando principalmente a Portugal, Italia y España, con una botnet activa de más de 1.500 dispositivos infectados. [citation:9]

La versión 2.0, descubierta por el equipo de investigación zLabs de Zimperium, ha ampliado drásticamente sus capacidades y su objetivo. [citation:5] Actualmente, el malware apunta a 349 aplicaciones bancarias, financieras, de carteras digitales y de criptomonedas en 16 países, con un módulo específico para robar PINs de 140 aplicaciones financieras y de criptomonedas. [citation:1][citation:5][citation:7]

¿Cómo funciona?

ToxicPanda 2.0 se basa en una combinación de técnicas que abusan de funciones legítimas de Android para tomar el control del dispositivo. El objetivo final es el fraude en el propio dispositivo, lo que significa que los atacantes operan desde el teléfono infectado de la víctima para eludir los sistemas de seguridad bancaria. [citation:2]

1. 1. 1. 1. Distribución e ingeniería social

La infección comienza con una campaña de ingeniería social. El malware se distribuye a través de archivos APK alojados en buckets de Amazon AWS. [citation:1][citation:2] Los atacantes engañan a los usuarios para que descarguen e instalen una aplicación maliciosa que simula ser legítima (sideloading). [citation:2]

1. 1. 1. 2. Permiso VPN: Bloqueo de Google Play

Una vez instalada, la aplicación "dropper" solicita al usuario permisos de VPN (Red Privada Virtual). [citation:1][citation:7] Al conceder este permiso, ToxicPanda crea una interfaz de red local que le permite controlar y bloquear el tráfico entrante y saliente del dispositivo. [citation:1]

Con este control, el malware bloquea las comunicaciones con Google Play y Google Play Services. [citation:1][citation:4][citation:7] Esto impide la verificación de aplicaciones, las actualizaciones de seguridad y la comunicación con Google Play Protect, dificultando la detección y eliminación del malware. [citation:1][citation:7]

1. 1. 1. 3. Abuso de los Servicios de Accesibilidad

Tras bloquear Google Play, el malware extrae e instala su carga maliciosa (payload) y solicita permisos de Accesibilidad (Accessibility Service). [citation:1][citation:2] Si el usuario concede este permiso, ToxicPanda obtiene un control inmenso sobre el dispositivo, pudiendo:

• **Leer el contenido de la pantalla** para extraer información.
• **Simular toques** para navegar por el sistema y aceptar permisos por sí mismo.
• **Crear "superposiciones" (overlays)** para mostrar pantallas falsas sobre aplicaciones legítimas. [citation:3]

1. 1. 1. 4. Captura de credenciales y PINs

Con el control de la Accesibilidad, ToxicPanda 2.0 puede robar credenciales de dos formas principales:

• **Superposiciones invisibles**: Cuando el usuario abre una aplicación bancaria o de criptomonedas, el malware superpone una capa transparente que captura los toques en la pantalla, robando el PIN o la contraseña sin que el usuario lo note. [citation:1][citation:3]
• **Pantalla de bloqueo falsa**: ToxicPanda puede mostrar una pantalla de bloqueo de Android falsa e idéntica a la real para interceptar el PIN, patrón o contraseña de desbloqueo del dispositivo. [citation:2][citation:3]

1. 1. 1. 5. Secuestro de ADB inalámbrico (Wireless Debugging)

La característica más sofisticada de ToxicPanda 2.0 es su capacidad para abusar del Android Debug Bridge (ADB) de forma inalámbrica. [citation:1][citation:3][citation:12]

Una vez que tiene permisos de Accesibilidad, el malware:

1. **Activa las Opciones de Desarrollador**: Simula automáticamente siete toques consecutivos en el "Número de compilación" para habilitar el modo desarrollador. 2. **Activa la Depuración Inalámbrica**: Navega a la sección de Depuración Inalámbrica en los ajustes y la activa. 3. **Se empareja con ADB**: Lee el código de emparejamiento de seis dígitos y el puerto que aparecen en pantalla, y establece una conexión con el servicio ADB local. 4. **Obtiene acceso a la shell**: Una vez emparejado, el malware ejecuta comandos con permisos de "shell", que tienen un alto nivel de privilegio. [citation:4][citation:8]

Con acceso a la shell, el malware puede ejecutar comandos para:

• Otorgarse permisos adicionales a sí mismo. [citation:4]
• Desactivar restricciones de ahorro de batería para garantizar su persistencia en dispositivos de marcas como Xiaomi, OPPO, Vivo, Samsung y Huawei. [citation:1]
• Activar componentes críticos sin notificación.
• Establecer mecanismos de persistencia profunda en el sistema. [citation:4]

Capacidades y alcance

• **Comandos Remotos**: Soporta 167 comandos remotos diferentes, lo que le permite a los atacantes controlar el dispositivo infectado de forma muy granular. [citation:1][citation:5]
• **Actualización Dinámica**: La lista de aplicaciones bancarias objetivo se puede actualizar de forma dinámica desde el servidor de comando y control (C2). [citation:3]
• **Exfiltración de Datos**: Utiliza protocolos web (HTTPS/WebSockets) para comunicarse con su C2 y exfiltrar los datos robados. [citation:8]
• **Evasión**: Puede bloquear Google Play Protect y ofuscar su código para dificultar el análisis. [citation:8]

¿Cómo protegerse?

La defensa contra ToxicPanda 2.0 se basa en la prevención y la concienciación, ya que el malware depende en gran medida del engaño al usuario. [citation:2]

• **Evitar el "sideloading"**: No instale aplicaciones de fuentes no oficiales o a través de enlaces sospechosos en mensajes o anuncios. [citation:2]
• **Desconfiar de permisos excesivos**: Sea especialmente cauteloso si una aplicación solicita permisos de **VPN, Accesibilidad, Administrador de dispositivos, Opciones de desarrollador o Depuración inalámbrica**. Si no hay una razón clara para ello, deniegue el permiso. [citation:2]
• **Mantener el software actualizado**: Mantenga el sistema operativo y las aplicaciones actualizadas para beneficiarse de los parches de seguridad.
• **Usar una solución de seguridad móvil**: Instale una solución antimalware para dispositivos móviles que ofrezca protección en tiempo real y pueda detectar cargas maliciosas de troyanos como ToxicPanda. [citation:2]

Relación con otros conceptos

• Troyanos: ToxicPanda es un troyano que se hace pasar por una aplicación legítima.
• Malware: Es un tipo de software malicioso diseñado para Android.
• Ingeniería Social: Su principal vector de infección es el engaño al usuario para que instale la aplicación maliciosa.
• Cifrado: Utiliza cifrado (como AES-ECB) para sus comunicaciones C2. [citation:8]

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Véase también

• Troyanos
• Malware
• Android
• Spyware
• Ciberdelincuentes
• Ingeniería Social
• Anubis
• Joker

---

Esta página forma parte de la Categoría:Familias de malware.