Anubis (Troyano Bancario)

Anubis es un malware de tipo troyano bancario diseñado para dispositivos Android. Su nombre hace referencia al dios egipcio de la muerte y el más allá, un nombre apropiado para un código malicioso que ha causado estragos en el mundo financiero desde su aparición a finales de 2016 [citation:9].

Originalmente concebido como una herramienta de ciberespionaje, Anubis ha evolucionado hasta convertirse en una de las amenazas móviles más sofisticadas y prolíficas, siendo conocido por su capacidad para robar credenciales bancarias mediante ataques de superposición y su amplia gama de funcionalidades [citation:6][citation:7].

Características principales

Nombre y Variantes

**También conocido como**: BankBot, android.bankbot, android.bankspy [citation:9][citation:2].
**Variantes conocidas**: Anubis II, Anubis 2.1, Anubis 2.5, Anubis 3, CometBot, MysteryBot, LokiBot [citation:9].

Origen y Evolución

**Plataforma**: Android (versiones 4.0.3 en adelante) [citation:1].
**Modelo de negocio**: Opera bajo un modelo de Malware-as-a-Service (MaaS), lo que significa que su código fuente está disponible para que otros ciberdelincuentes lo compren, modifiquen y utilicen en sus propias campañas [citation:7].
**Evolución**: Inició como malware de espionaje y luego se retoolizó como un troyano bancario altamente efectivo [citation:6][citation:9].

Capacidades Técnicas

Anubis es conocido por su impresionante lista de funcionalidades que le permiten controlar casi por completo un dispositivo infectado:

**Ataques de Superposición (Overlay)**: Su funcionalidad principal. Cuando el usuario abre una aplicación bancaria o de compras, Anubis superpone una pantalla de inicio de sesión falsa sobre la legítima para robar las credenciales de la víctima [citation:1][citation:9].
**Keylogging**: Registra todas las pulsaciones del teclado, capturando cualquier texto introducido en el dispositivo [citation:1].
**Captura de Pantalla (Screenshots)**: Puede tomar capturas de pantalla de la actividad del usuario y enviarlas a los atacantes [citation:1].
**Registro de Llamadas y Audio**: Es capaz de grabar llamadas telefónicas y audio del entorno [citation:6].
**Control de SMS**: Puede enviar, recibir y eliminar mensajes SMS, lo que le permite interceptar códigos de autenticación de dos factores (2FA) [citation:7].
**Componente Ransomware**: Anubis incluye un módulo que puede cifrar los archivos del dispositivo y de la tarjeta SD, añadiendo la extensión `.AnubisCrypt` y exigiendo un rescate para su liberación [citation:1][citation:6].
**Acceso a la Accesibilidad (Accessibility)**: Abusa de los permisos de accesibilidad de Android para controlar la interfaz del dispositivo, realizar toques en pantalla y evitar que el usuario desinstale la aplicación maliciosa [citation:6].
**Control Remoto VNC**: Permite a los atacantes ver la pantalla del dispositivo en tiempo real a través de una sesión VNC [citation:7].
**Exfiltración de Datos**: Puede robar listas de contactos, ubicación GPS, y otros archivos almacenados en el dispositivo [citation:6][citation:7].
**Evasión de Emuladores**: Utiliza sensores de movimiento para detectar si está siendo ejecutado en un entorno de análisis (sandbox) y así evitar ser detectado [citation:3].

Técnicas y Tácticas de Ataque

Métodos de Distribución

Anubis se propaga a través de varios vectores:

**Aplicaciones Maliciosas en Google Play**: Los atacantes publican apps aparentemente legítimas (como convertidores de moneda o salvapantallas) que, una vez instaladas, descargan la carga maliciosa de Anubis en una segunda etapa para evitar los controles de seguridad de Google [citation:3][citation:7].
**Suplantación de "Google Play Protect"**: Una de sus tácticas más conocidas. Tras la instalación, la app maliciosa muestra una pantalla falsa que imita a "Google Play Protect" y solicita permisos de administrador del dispositivo. Al aceptar, el usuario otorga sin saberlo los permisos necesarios para que el malware tome el control total del teléfono [citation:1][citation:5].
**Actualizaciones Falsas del Sistema**: Otra táctica común es mostrar un mensaje que simula ser una "actualización del sistema" y engaña al usuario para que instale un APK malicioso [citation:3].
**Campañas de Phishing**: Distribución a través de enlaces maliciosos en correos electrónicos o mensajes SMS (smishing) que descargan el APK camuflado como una factura o documento importante [citation:1][citation:4].

Proceso de Infección Típico

1. **Descarga**: El usuario descarga e instala una aplicación de apariencia legítima desde una tienda de aplicaciones o un enlace de phishing. 2. **Descarga de Payload**: La app "dropper" se conecta a un servidor de C2 para descargar el código malicioso de Anubis [citation:5]. 3. **Ingeniería Social**: Anubis solicita permisos críticos (accesibilidad, administrador del dispositivo) utilizando un engaño como la falsa pantalla de "Google Play Protect" [citation:5][citation:6]. 4. **Ejecución**: Una vez concedidos los permisos, el malware se ejecuta en segundo plano y puede:

   * **Detectar Apps Financieras**: Escanea el dispositivo para detectar aplicaciones bancarias o de compras [citation:1].
   * **Robar Credenciales**: Cuando el usuario abre una de estas apps, Anubis lanza un ataque de superposición para robar los datos de acceso [citation:1].
   * **Exfiltrar Datos**: Transmite las credenciales robadas, mensajes SMS, contactos y otra información sensible a los atacantes [citation:9].

Impacto y Alcance

**Alcance Global**: Anubis ha afectado a un gran número de instituciones financieras a nivel mundial. Se estima que ha causado daños a más de 300 entidades financieras en países como Turquía, Italia, EE.UU., India, Francia, Alemania, Australia y Polonia [citation:9][citation:7].
**Amplio Espectro de Apps**: Una de las versiones más recientes de Anubis ha demostrado tener la capacidad de apuntar a 377 variantes de aplicaciones financieras en 93 países [citation:3]. Este número muestra la escala y la sofisticación del proceso de focalización del malware.

Estrategias de Mitigación

Para protegerse contra Anubis y otros troyanos bancarios similares:

**Permisos de Accesibilidad**: Nunca otorgar permisos de accesibilidad a aplicaciones que no provengan de fuentes totalmente fiables.
**Fuentes de Descarga**: Instalar aplicaciones únicamente desde la Google Play Store, aunque no es una garantía absoluta, reduce el riesgo [citation:7].
**Verificación de Aplicaciones**: Antes de instalar, leer reseñas y comprobar la reputación del desarrollador.
**Sistema Actualizado**: Mantener el sistema operativo Android y las aplicaciones actualizadas para aplicar los parches de seguridad más recientes [citation:7].
**Seguridad en el Dispositivo**: Utilizar una solución de seguridad móvil que ofrezca protección en tiempo real [citation:9].
**Cultura de Seguridad**: Desconfiar de enlaces y archivos adjuntos en correos y SMS de remitentes desconocidos.

Relación con otros conceptos

Malware: Anubis es un tipo de malware diseñado para Android.
Troyano Bancario: Su función principal es el robo de credenciales financieras.
Ingeniería Social: Utiliza el engaño (falsas pantallas de Google Play Protect, actualizaciones del sistema) para manipular al usuario.
Cifrado: Su componente ransomware utiliza cifrado para secuestrar archivos.
Autenticación de Dos Factores (2FA): Anubis la subvierte interceptando los códigos SMS de verificación.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.

Véase también

Esta página forma parte de la Categoría:Familias de malware.