Troyanos bancarios para Android comprometen casi 18.000 teléfonos y roban 7,6 millones de SMS en India

Una campaña coordinada de malware para Android dirigida a clientes bancarios en India ha comprometido al menos 17.960 dispositivos e interceptado más de 7,6 millones de mensajes de texto, incluidos códigos de un solo uso y alertas de transacciones. La actividad se rastrea como un clúster con motivación financiera denominado CyberDakait, que combina llamadas telefónicas de ingeniería social, sitios de phishing con temática bancaria, aplicaciones troyanizadas e incluso minería de criptomonedas en el teléfono de la víctima.

Qué ocurrió

Los operadores suplantaron a 11 bancos indios y a dos programas gubernamentales. El esquema suele empezar con una llamada: alguien que dice trabajar para el banco de la víctima advierte de que se ha activado un "plan de protección de tarjeta de crédito" que empezará a generar cargos si no se cancela de inmediato. A continuación, el interlocutor envía un enlace, a menudo por WhatsApp, que supuestamente lleva al formulario de cancelación.

El enlace abre una página de phishing con el aspecto del banco, que entrega un APK de Android alojado en repositorios públicos de GitHub. Una vez instalada, la aplicación muestra una pantalla falsa de actualización de Google Play y descarga en silencio una segunda carga. Pide al usuario que la excluya de la optimización de batería para seguir ejecutándose de forma permanente y luego lo guía por una "cancelación" por etapas que recopila números de tarjeta, fechas de caducidad y códigos CVV, credenciales de banca por internet, números de identidad e incluso fotografías. Cada petición parece un paso más de verificación, y eso es precisamente lo que hace convincente el flujo.

Entre bastidores, el malware reenvía cada SMS entrante a bots de Telegram y back-ends de Firebase controlados por los atacantes, casi en tiempo real. El recuento de mensajes interceptados llegó exactamente a 7.611.443. La cifra de víctimas procede de dos canales: unos 2.400 dispositivos únicos observados mediante notificaciones de instalación y alrededor de 15.600 más expuestos a través de una infraestructura Firebase mal configurada.

La actividad contra el sector financiero indio se observa desde julio de 2025, con denuncias de víctimas que se remontan a enero de 2025. Las cuentas de GitHub utilizadas para la distribución ya han sido dadas de baja.

Siete familias de malware, un mismo guion

En la campaña se identificaron siete familias de troyanos distintas: cyb3rx, appkjl, godz, d-passive, d-shine, GhostBat y tenxen. GhostGrab, visto en campañas anteriores de robo bancario, resultó ser una versión antigua de GhostBat y no una octava familia. Los temas de phishing compartidos no bastaron para agrupar todas las muestras: las familias difieren en tráfico de red, estructuras de base de datos, formatos de mensaje y gestión de comandos.

Lo que tienen en común es el conjunto de herramientas: interceptación y reenvío de SMS, desvío de llamadas y robo de credenciales mediante interfaces falsas convincentes. Algunas se comunican por Telegram, otras por Firebase y otras con servidores web convencionales.

Dos detalles destacan. Primero, se encontró una aplicación Android de administración que permite a los operadores gestionar las infecciones de cyb3rx desde un teléfono: revisar mensajes interceptados, extraer datos obtenidos por phishing, gestionar dispositivos, enviar SMS, cambiar reglas de reenvío, activar el desvío de llamadas y ejecutar códigos USSD personalizados. Además, parte de la cadena de infección incluye un componente llamado d-miner, que instala XMRig para minar criptomonedas en el dispositivo de la víctima, usando wake locks, reproducción de audio silenciosa y servicios en primer plano para evitar que Android lo cierre.

También hay indicios de que los desarrolladores de GhostBat escribieron y compilaron su malware directamente en teléfonos Android. Que todas las familias pertenezcan al mismo operador sigue sin confirmarse: CyberDakait debe entenderse como un clúster de comportamientos de campaña superpuestos, no como un único grupo demostrado.

Por qué importa

El SMS sigue siendo la columna vertebral de la autenticación de transacciones en muchos bancos. Un troyano que reenvía en silencio los códigos de un solo uso, combinado con datos de tarjeta y de acceso recién robados por phishing, da a los delincuentes todo lo necesario para aprobar transferencias fraudulentas en tiempo real. Los documentos de identidad y las fotos robadas también exponen a las víctimas a suplantaciones posteriores mucho después del fraude inicial.

La campaña muestra además lo baja que es ya la barrera de entrada: repositorios gratuitos de código como mecanismo de distribución, bots de mensajería de consumo como comando y control y una consola de administración en el teléfono para los operadores.

Qué hacer

Para particulares:

• Nunca instales una aplicación bancaria desde un enlace recibido por llamada, SMS o WhatsApp. Usa solo la ficha oficial de la tienda de aplicaciones.
• Trata cualquier llamada no solicitada sobre un "plan de protección" o una "cancelación" como fraude. Cuelga y llama al número impreso en tu tarjeta.
• Revisa qué aplicaciones tienen permisos de SMS y retira los que no sean necesarios.
• Si sospechas que estás comprometido, contacta de inmediato con tu banco para bloquear tarjetas y cuentas, y luego restablece el dispositivo de fábrica.

Para bancos y fintechs:

• Vigila los dominios que imitan tu marca con términos como "protección de tarjeta" o "cancelar plan", y los repositorios públicos que distribuyen APK con tu nombre.
• Lleva a los clientes hacia la autenticación en la aplicación o respaldada por hardware siempre que sea posible, y marca las transacciones que siguen a una ráfaga de reenvíos de SMS o cambios en el desvío de llamadas.
• Vigila los canales clandestinos y las plataformas de mensajería en busca de datos de tarjeta y credenciales filtradas de tus clientes.

Campañas como esta dejan rastro fuera de tu perímetro: mensajes interceptados, volcados de tarjetas y credenciales que se comercian en canales de Telegram y mercados de la dark web. El servicio de monitorización de Deep/Dark Web de 4tify está diseñado para detectar ese tipo de exposición a tiempo, de modo que las cuentas comprometidas puedan bloquearse antes de que el fraude se consume.