PixRevolution Campaign

PixRevolution Campaign es una campaña de ciberdelincuencia financiera dirigida al sistema de pagos instantáneos PIX de Brasil, que emplea un troyano bancario para Android del mismo nombre, descubierto por la firma de seguridad Zimperium en marzo de 2026. Esta campaña representa una evolución significativa en el malware bancario móvil al utilizar un modelo de "agente en el medio" (Agent-in-the-Loop), donde un operador humano o de IA supervisa en tiempo real la pantalla del dispositivo infectado para ejecutar el fraude. A diferencia de los troyanos automatizados tradicionales, PixRevolution permite a los atacantes intervenir manualmente en el momento exacto de una transferencia PIX, reemplazando los datos del destinatario y confirmando la transacción mientras la víctima observa una pantalla de carga falsa. Dado que las transferencias PIX son instantáneas e irrevocables, el robo de fondos es inmediato y sin posibilidad de recuperación. La campaña se distribuye a través de sitios web falsos que imitan tiendas de aplicaciones legítimas, utilizando aplicaciones dropper que se hacen pasar por servicios populares brasileños como Correios, Expedia o herramientas gubernamentales.

Nombres Alternativos / Aliases

Campaña PixRevolution (Por el nombre del malware)
Agent-in-the-Loop Banking Trojan (Por el modelo de operación)
PIX Fraud Campaign (Por el sistema de pago objetivo)
Real-Time PIX Hijacker (Por la capacidad de robo en tiempo real)
Brazilian AITL Malware (Por la región y el modelo de ataque)

Fecha de Detección / Actividad

Período de Actividad Observado: Activo al menos desde marzo de 2026 (fecha de la investigación de Zimperium).
Fecha de Divulgación Pública: 12 de marzo de 2026 (fecha del artículo de investigación de Zimperium compartido con Hackread.com).
Estado: Activo. La campaña continúa distribuyéndose mediante sitios web falsos y aplicaciones dropper, representando una amenaza crítica para usuarios de Android en Brasil.

Actor de Amenaza (Atribución)

Nombre del Actor: No atribuido a un grupo específico o individuo.
Tipo de Actor: Grupo cibercriminal especializado en fraude financiero.
Sofisticación: Alta. El modelo "agent-in-the-loop" requiere una infraestructura de comando y control que permita la transmisión de video en tiempo real de la pantalla del dispositivo infectado a un operador humano o sistema de IA. Además, la capacidad de desarrollar aplicaciones dropper que imitan fielmente servicios legítimos y de proporcionar instrucciones específicas para diferentes fabricantes de dispositivos (Samsung, Xiaomi, Motorola) demuestra un alto nivel de preparación y conocimiento técnico.

Resumen Ejecutivo

PixRevolution Campaign introduce una nueva y peligrosa generación de malware bancario móvil que aprovecha la inmediatez del sistema de pagos PIX de Brasil. El malware, diseñado para Android, no opera de forma totalmente automatizada, sino que emplea un modelo "agent-in-the-loop" (AITL). Esto significa que un operador humano o de IA recibe una transmisión en vivo de la pantalla del dispositivo infectado y puede intervenir manualmente durante una transacción financiera. Cuando la víctima inicia una transferencia PIX, el malware muestra una pantalla de carga falsa con el mensaje "Aguarde...". Mientras el usuario espera, el operador remoto, viendo la pantalla en tiempo real, modifica los datos del destinatario en el campo correspondiente y simula un toque en el botón de confirmación. Para cuando la pantalla falsa desaparece, la transferencia se ha completado y los fondos, al ser una transacción PIX instantánea e irrevocable, se han perdido irreversiblemente en una cuenta controlada por el atacante. La distribución se realiza mediante ingeniería social, con sitios web falsos que ofrecen aplicaciones dropper que imitan servicios populares brasileños (Correios, Expedia, STJ). Estas aplicaciones solicitan permisos de accesibilidad, explicando detalladamente cómo activarlos en diferentes marcas de teléfonos, lo que otorga al malware control total sobre la interfaz del dispositivo. PixRevolution monitoriza la pantalla en busca de más de 80 frases en portugués relacionadas con finanzas, y utiliza logos falsos de 10 bancos importantes (Nubank, Itaú, Santander) para hacer sus superposiciones más convincentes, marcando un hito en la evolución del fraude bancario móvil.

Vectores de Ataque

Sitios Web Falsos (Distribución): Los atacantes crean sitios web que imitan la apariencia de la Google Play Store oficial para engañar a los usuarios y hacerles descargar aplicaciones maliciosas (droppers).
Aplicaciones Dropper: Las aplicaciones descargadas se hacen pasar por servicios legítimos y populares en Brasil, como el servicio postal (Correios), la aplicación de viajes Expedia, o herramientas del tribunal superior (STJ).
Abuso de Permisos de Accesibilidad: Una vez instalada, la aplicación engaña al usuario para que active los servicios de accesibilidad de Android. El malware proporciona instrucciones paso a paso específicas para dispositivos Samsung, Xiaomi y Motorola para asegurar su activación.
Supervisión de Pantalla en Vivo (Agent-in-the-Loop): Con el permiso de accesibilidad activado, el malware transmite una transmisión en vivo de la pantalla del dispositivo infectado a un operador remoto (humano o IA).
Manipulación de Transferencias en Tiempo Real: Durante una transacción PIX legítima, el operador remoto, viendo la pantalla, reemplaza los datos del destinatario en el campo de texto por los suyos propios y simula la confirmación del pago, todo mientras la víctima ve una pantalla de carga falsa.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Initial Access (TA0001)	Phishing: Spearphishing Link (T1566.002)	Los usuarios son dirigidos a sitios web falsos que imitan tiendas de aplicaciones legítimas a través de enlaces de phishing.
Execution (TA0002)	User Execution: Malicious File (T1204.002)	El usuario instala voluntariamente la aplicación dropper maliciosa desde el sitio web falso.
Persistence (TA0003)	Hijack Execution Flow (T1574)	Al abusar de los servicios de accesibilidad, el malware puede interceptar y modificar el flujo de ejecución de otras aplicaciones, incluyendo las bancarias.
Privilege Escalation (TA0004)	Abuse Elevation Control Mechanism (T1548)	El malware engaña al usuario para que le conceda privilegios elevados mediante la activación de los servicios de accesibilidad de Android.
Defense Evasion (TA0005)	Hide Artifacts: Hidden Window (T1564.003)	El malware muestra una pantalla de carga falsa a pantalla completa ("Aguarde...") para ocultar la actividad maliciosa que ocurre en segundo plano.
Credential Access (TA0006)	Input Capture: GUI Input Capture (T1056.002)	El operador remoto captura la entrada del usuario y los datos de la pantalla en tiempo real a través de la transmisión en vivo. Específicamente, el malware captura el campo de texto del destinatario para modificarlo.
Discovery (TA0007)	System Information Discovery (T1082)	El malware puede identificar el modelo del dispositivo (Samsung, Xiaomi, Motorola) para mostrar instrucciones personalizadas de activación de accesibilidad.
Discovery (TA0007)	Application Window Discovery (T1010)	El malware monitoriza la pantalla para detectar más de 80 frases en portugués relacionadas con transacciones financieras (ej. "pix enviado", "saldo insuficiente") y activar su funcionalidad.
Collection (TA0009)	Screen Capture (T1113)	El malware transmite en vivo la pantalla del dispositivo al operador, lo que constituye una forma continua y remota de captura de pantalla.
Collection (TA0009)	Input Capture (T1056)	El malware captura las interacciones del usuario con la interfaz bancaria, incluyendo los datos de la transferencia.
Command and Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	Se utiliza una conexión, probablemente vía WebSockets o protocolo similar, para transmitir el video en vivo de la pantalla al operador remoto.
Impact (TA0040)	Data Manipulation: Transmitted Data Manipulation (T1565.002)	El operador remoto modifica los datos de la transferencia en tránsito (la información del destinatario) justo antes de que se confirme la transacción.
Impact (TA0040)	Financial Theft (sin código específico en ATT&CK, pero relacionado con Impact)	El objetivo final es el robo directo de fondos mediante la manipulación de la transferencia bancaria.

Flujo de Ataque (Cyber Kill Chain)

Reconocimiento: Los atacantes identifican el sistema de pagos instantáneos PIX de Brasil como un objetivo de alto valor debido a su volumen de transacciones y su naturaleza irrevocable. Seleccionan servicios populares brasileños (Correios, Expedia, STJ) como señuelo.
Armamento: Los atacantes desarrollan aplicaciones dropper para Android que imitan la apariencia de servicios legítimos. Construyen la funcionalidad principal del malware PixRevolution, incluyendo el código para la transmisión de pantalla en vivo, la detección de frases financieras en portugués y la capacidad de recibir comandos manuales de un operador remoto. Crean sitios web falsos que replican la tienda Google Play.
Entrega: Los atacantes distribuyen enlaces a los sitios web falsos, probablemente a través de campañas de phishing en redes sociales, SMS o WhatsApp, dirigidas a usuarios brasileños.
Explotación: No se explota una vulnerabilidad técnica. El usuario es engañado para que instale la aplicación dropper y, posteriormente, para que conceda manualmente permisos de accesibilidad siguiendo las instrucciones del malware, lo que constituye una explotación de la confianza del usuario.
Instalación: La aplicación dropper se instala en el dispositivo. Una vez concedidos los permisos de accesibilidad, el malware PixRevolution se activa completamente y establece la conexión con el servidor de C2 para comenzar a transmitir la pantalla.
Comando y Control (C2): El dispositivo infectado establece una conexión persistente con la infraestructura del atacante, transmitiendo una transmisión en vivo de la pantalla a un operador (agente) humano o sistema de IA.
Acción sobre Objetivos: El operador remoto monitoriza la pantalla de la víctima. Cuando esta inicia una transferencia PIX, el operador ve los datos en tiempo real. En ese momento, activa la funcionalidad del malware para mostrar una pantalla de carga falsa, modifica el campo del destinatario por su propia cuenta, confirma la transacción y roba los fondos instantáneamente.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Sitios Web Falsos	Dominios que imitan la Google Play Store	Alojar y distribuir las aplicaciones dropper maliciosas.
Servidor de C2	No especificado (soporta transmisión de video en vivo)	Recibir la transmisión de pantalla de los dispositivos infectados y enviar comandos manuales (como la modificación de campos de texto) a los mismos.
Panel de Operador (Agent Panel)	Interfaz para que el operador humano o de IA visualice múltiples pantallas de víctimas y ejecute acciones de fraude en tiempo real.	Permitir la supervisión y el control manual de los dispositivos infectados.
Aplicaciones Dropper	APKs maliciosos que imitan a Correios, Expedia, STJ.	Actuar como caballo de Troya para instalar el payload principal de PixRevolution en el dispositivo de la víctima.

Objetivos y Sectores Atacados

Objetivo Principal: Usuarios de dispositivos móviles con sistema operativo Android en Brasil.
Sector Prioritario: Sector Financiero y de Pagos. El ataque se centra exclusivamente en el sistema de pagos instantáneos PIX, utilizado por la inmensa mayoría de bancos y entidades financieras brasileñas.
Bancos Específicamente Suplantados: El malware incluye logos falsos de al menos 10 bancos importantes, incluyendo Nubank, Itaú y Santander, para hacer sus superposiciones más convincentes.
Distribución Geográfica: Exclusivamente Brasil, dado el enfoque en el sistema PIX y el uso de frases en portugués para activar el malware.

Impacto y Riesgo

Nivel de Riesgo: Crítico para los usuarios de Android en Brasil y la integridad del sistema de pagos PIX.
Impacto Potencial:
- Robo Instantáneo e Irrevocable de Fondos: Las víctimas pueden perder dinero de sus cuentas bancarias en tiempo real, sin posibilidad de reversión de la transferencia PIX.
- Pérdida de Confianza en el Sistema PIX: Ataques exitosos y publicitados pueden erosionar la confianza de los ciudadanos en el sistema de pagos instantáneos, un pilar de la economía brasileña.
- Daño a la Reputación Bancaria: Los bancos cuyos logos son falsificados sufren daño reputacional, ya que los clientes pueden percibir que su dinero no está seguro incluso en las aplicaciones oficiales.
- Pérdidas Económicas Masivas: Dado el volumen de transacciones PIX, el potencial de pérdidas agregadas por esta campaña es muy elevado.
- Evolución de Amenazas Móviles: El modelo "agent-in-the-loop" establece un nuevo estándar para el malware bancario, que podría ser adoptado por otros grupos criminales a nivel global.

Recomendaciones de Mitigación

Educación y Concientización del Usuario (M1017): Campañas específicas en Brasil: Informar a los usuarios que nunca deben descargar aplicaciones bancarias o de servicios desde enlaces en mensajes o sitios web no oficiales. Insistir en que solo utilicen las tiendas oficiales (Google Play Store). Enseñar a los usuarios a ser extremadamente cautelosos con cualquier solicitud de activar permisos de accesibilidad, especialmente si provienen de aplicaciones que no son del sistema o de su banco.
Políticas de Seguridad para Dispositivos Móviles (M1028): Para entornos corporativos que permitan BYOD o dispositivos gestionados, implementar políticas de Mobile Device Management (MDM) y Unified Endpoint Management (UEM) que:
- Restrinjan o monitoricen la instalación de aplicaciones de fuentes desconocidas.
- Alerten sobre la activación de servicios de accesibilidad por aplicaciones no autorizadas.
- Puedan bloquear o poner en cuarentena dispositivos que muestren comportamientos asociados a este tipo de malware.
Protección en el Dispositivo (M1040 / M1049): Asegurar que los dispositivos Android tengan Google Play Protect activado y actualizado. Utilizar soluciones de seguridad móvil (Mobile Threat Defense) de terceros que sean capaces de detectar aplicaciones maliciosas basadas en comportamiento, abuso de accesibilidad y transmisión de pantalla.
Concientización sobre Permisos de Accesibilidad (M1017): Realizar campañas de concienciación específicas sobre los peligros de conceder permisos de accesibilidad. Explicar que este permiso otorga un control casi total sobre el dispositivo y que solo debe concederse a aplicaciones de absoluta confianza (generalmente las propias del fabricante o servicios de accesibilidad legítimos y bien conocidos).
Monitoreo de Transacciones por Parte de los Bancos (M1057 / M1030): Las instituciones financieras brasileñas deben implementar sistemas de detección de fraude en tiempo real que analicen patrones de comportamiento durante las transferencias PIX. La detección de anomalías, como la velocidad de interacción no humana (por ejemplo, una confirmación de pago excesivamente rápida) o la correlación de múltiples transferencias a nuevas cuentas destino desde dispositivos con perfiles de riesgo similares, podría ayudar a bloquear transacciones fraudulentas antes de que se completen.

Herramientas de Detección

Mobile Threat Defense (MTD): Soluciones como Zimperium (la propia empresa que descubrió la amenaza), Lookout, o Symantec Endpoint Protection Mobile pueden detectar aplicaciones maliciosas basándose en análisis estático y de comportamiento, incluyendo el abuso de permisos de accesibilidad y la comunicación con C2.
Google Play Protect: El servicio de Google puede identificar y bloquear aplicaciones maliciosas conocidas, aunque los droppers personalizados pueden evadirlo inicialmente.
MDM/UEM Solutions: Las consolas de gestión de dispositivos móviles (como VMware Workspace ONE, Microsoft Intune) pueden proporcionar visibilidad sobre las aplicaciones instaladas y los permisos concedidos, generando alertas sobre configuraciones de alto riesgo.
Análisis de Tráfico de Red: Dispositivos de seguridad de red que inspeccionan el tráfico SSL/TLS pueden identificar conexiones sospechosas a servidores de C2, especialmente aquellas que podrían estar transmitiendo video en tiempo real (consumo anómalo de datos, patrones de conexión persistentes).
Sistemas Anti-Fraude Bancarios: Los propios bancos pueden implementar modelos de machine learning que analicen las transacciones PIX en busca de patrones anómalos, como cambios de último segundo en los datos del beneficiario o confirmaciones de pago que no se alinean con el comportamiento humano típico.

Referencias y Fuentes

Ahmed, D. (2026, Marzo 12). New PixRevolution Malware Steals Brazil’s PIX Transfers in Real Time. Hackread.com. (Artículo proporcionado por el usuario).
Zimperium. (2026, Marzo 12). PixRevolution: Agent-in-the-Loop Android Malware Targets Brazil's PIX System. (Comunicado de prensa / Blog post citado en el artículo).
MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-13	1.0	Asistente de Seguridad	Creación inicial de la entrada basada en el informe de Zimperium sobre la campaña PixRevolution.

Indicadores de Compromiso (IOCs)

Tipo	Valor
Malware	PixRevolution (troyano bancario para Android)
Tipo de Ataque	Agent-in-the-Loop (AITL)
Sistema Objetivo	PIX (sistema de pagos instantáneos de Brasil)
Plataforma Objetivo	Android
Método de Distribución	Sitios web falsos que imitan Google Play Store
Aplicaciones Señuelo (Droppers)	Expedia (falso), Correios (falso), STJ (Superior Court - falso)
Permiso Abusado	Servicios de Accesibilidad de Android
Fabricantes con Instrucciones Específicas	Samsung, Xiaomi, Motorola
Frases Monitorizadas (Portugués)	Más de 80 frases financieras, incluyendo "pix enviado", "saldo insuficiente"
Bancos con Logos Falsificados	Nubank, Itaú, Santander (y al menos 7 más)
Pantalla Falsa Mostrada	"Aguarde..." (Pantalla de carga a pantalla completa)
Comportamiento Anómalo	Transmisión de pantalla en vivo desde el dispositivo
Comportamiento Anómalo	Activación de servicios de accesibilidad para aplicaciones no confiables
Comportamiento Anómalo	Modificación de campos de texto en aplicaciones bancarias durante una transacción

Etiquetas / Categorías

malware troyano-bancario android brasil pix agent-in-the-loop aitl fraude-financiero ransomware accesibilidad zimperium nubank itaú santander phishing dropper ciberwiki pixrevolution