Investigadores de ciberseguridad han alertado sobre dos troyanos bancarios para Android que han evolucionado sus capacidades. Por un lado, ToxicPanda 2.0 incorpora mejoras relevantes y aumenta de forma notable su objetivo global. Por otro, GoldDigger activa campañas de fraude en el propio dispositivo, apoyándose en permisos sensibles para manipular la interacción del usuario y capturar datos.
En conjunto, ambos casos evidencian una tendencia preocupante: los ataques bancarios en Android ya no dependen solo de técnicas tradicionales, sino que explotan funciones del sistema y permisos de accesibilidad para operar de manera encubierta.
ToxicPanda 2.0: más comandos, más objetivos y robo de PIN
El análisis de Zimperium zLabs describe una versión actualizada de ToxicPanda (también conocida como TgToxic) con “mejoras significativas”. Entre los cambios, se incluye un conjunto de 167 comandos remotos y una ampliación del alcance de la campaña a nivel global.
Un elemento especialmente crítico es el flujo orientado a capturar códigos PIN. Según el informe, la rutina apunta a más de 140 aplicaciones relacionadas con banca y criptomonedas. ToxicPanda se mantiene activo “en la naturaleza” al menos desde julio de 2022, lo que indica continuidad y capacidad de ajuste con el tiempo.
Además, el comportamiento reportado se basa en el abuso del servicio de accesibilidad. Esto permite a los atacantes recuperar elementos de la interfaz en pantalla. A su vez, se menciona un mecanismo de robo de credenciales mediante superposiciones (overlays), orientado a 349 instituciones financieras en 16 países. En la versión anterior, el foco era mucho más limitado: solo 16 aplicaciones bancarias.
Funciones nuevas para esconder actividad y escalar privilegios
La iteración más reciente también incorpora comandos que antes no estaban implementados y añade técnicas adicionales para operar sin ser detectado. El malware puede extraer credenciales desde la pantalla de bloqueo usando una superposición falsa, y utiliza un mecanismo automatizado de “clics” para aprovechar Wireless Debugging mediante Android Debug Bridge (ADB).
Para habilitar este abuso, ToxicPanda se apoya en servicios de accesibilidad con un objetivo claro: activar opciones de desarrollador y, después, encender el depurado inalámbrico. Con ello busca facilitar la escalada de privilegios y obtener acceso a nivel de shell en dispositivos comprometidos.
Otra capa de sigilo es la posibilidad de mostrar superposiciones de pantalla completa con apariencia de “actualización del sistema”. Estas pantallas sirven para ocultar acciones en segundo plano. En paralelo, el malware puede desplegar una superposición transparente e invisible para capturar toques y recuperar códigos PIN.
Cómo se comunica ToxicPanda con su servidor C2
En la fase de control, ToxicPanda 2.0 establece conectividad con su servidor de mando y control (C2). El proceso comienza con una petición inicial por HTTPS para abrir un canal de comunicación bidireccional mediante WebSocket. A partir de ahí, el malware puede recibir comandos y también intercambiar datos.
Este patrón de comunicación es importante porque habilita actualizaciones de comportamiento “desde fuera”: el atacante puede modificar acciones, solicitar información o activar componentes dependiendo del objetivo.
Privilegios de administrador y endurecimiento contra optimización de batería
El informe también destaca funcionalidades añadidas como: solicitar al usuario que conceda privilegios de administrador del dispositivo. En caso de éxito, el malware podría sobrescribir el PIN o la contraseña local de la pantalla de bloqueo con un valor definido por el atacante.
Además, ToxicPanda perfila el dispositivo comprometido para identificar el fabricante (OEM). Con ese dato, intenta aplicar los pasos necesarios para evitar que el sistema limite su ejecución en segundo plano. Para ello, vuelve a recurrir a servicios de accesibilidad que permiten gestionar excepciones frente a políticas de optimización de batería y mantener la actividad del malware.
Cambio en la distribución: uso de infraestructura en la nube
Un punto adicional del análisis es la evolución en los métodos de distribución. De acuerdo con Zimperium, las muestras de ToxicPanda 2.0 se entregan mediante cubos (buckets) alojados en Amazon AWS. En la práctica, esto sugiere que los atacantes emplean infraestructura en la nube para facilitar la entrega del malware.
Esta táctica puede aumentar la disponibilidad del contenido malicioso y hacer más flexible la operación de la campaña.
GoldDigger: fraude en el dispositivo con permisos de accesibilidad
El segundo actor analizado es GoldDigger, otro troyano bancario para Android. El malware fue documentado inicialmente por Group-IB en octubre de 2023 y se caracteriza por su capacidad de realizar fraude directamente en el dispositivo.
La atribución apunta a un actor conocido como GoldFactory, vinculado a familias de malware bancario tanto para Android como para iOS, incluyendo GoldPickaxe, GoldDiggerPlus y GoldKefu.
En esta campaña, IBM Trusteer indica que GoldDigger utiliza un empacador (“packer”) llamado dpt-shell para ofuscar su código y recursos, con el fin de dificultar el análisis. El packer, además, incorpora técnicas de evasión como cifrar lógica nativa, comprobar si Frida está conectado y, si detecta esa condición, finalizar el proceso. También se menciona el uso de la llamada del sistema PTRACE para dificultar que depuradores externos se conecten.
Campaña enfocada: Sudáfrica y Reino Unido
Según el reporte, la campaña actual se centra en suplantar empresas de aerolíneas y comercios minoristas. Esto se asocia con un volumen elevado de infecciones en Sudáfrica y el Reino Unido.
Las víctimas que instalan las aplicaciones falsas suelen ser invitadas a conceder permisos de accesibilidad. Una vez dentro, GoldDigger puede abusar de ese acceso para realizar acciones fraudulentas dentro de aplicaciones bancarias.
De forma concreta, el malware puede inyectar entradas para replicar la interacción del usuario: escribir texto, pulsar botones y ejecutar gestos. Con esa “imitación” el troyano puede iniciar transacciones fraudulentas desde la app bancaria de la víctima.
Superposiciones, captura de credenciales y control en tiempo real
GoldDigger también puede proporcionar al operador acceso en tiempo real al contenido de la pantalla, capturar credenciales introducidas en apps bancarias mediante superposiciones falsas y ejecutar apps de manera controlada dentro de un entorno virtual.
Esta combinación da al atacante visibilidad del comportamiento durante la ejecución e incrementa la capacidad de interceptar credenciales y datos sensibles en el momento oportuno.
Conexión C2 de GoldDigger y actividades adicionales
En lo relativo al control externo, GoldDigger configura una conexión WebSocket para recibir instrucciones. Esas órdenes permiten pedir permisos adicionales de accesibilidad y ubicación, capturar entradas desde cualquier app usando el servicio de accesibilidad, reunir contactos y mensajes SMS, y registrar contenido multimedia.
El malware puede grabar audio y video y transmitirlos al servidor C2 mediante el protocolo RTMP. Asimismo, puede abrir URLs específicas y lanzar aplicaciones concretas, como Google Play Store y Ajustes.
Cómo protegerse ante ataques bancarios en Android
A la vista de estos hallazgos, la recomendación general es actuar antes de que el malware consiga permisos críticos. Empieza por revisar las aplicaciones instaladas y desinstalar cualquier app desconocida o sospechosa.
Luego, verifica los permisos que tienen las aplicaciones antes de concederlos. Presta especial atención a permisos de accesibilidad, ya que pueden habilitar el abuso de la interfaz para robo de datos y manipulación de acciones.
También conviene descargar aplicaciones solo desde fuentes confiables y mantener el sistema al día. Activa la autenticación de dos factores (2FA) en las cuentas en línea y, finalmente, controla tu banca con atención: revisa movimientos y señales inusuales en transacciones.
Conclusión
ToxicPanda 2.0 y GoldDigger muestran cómo los atacantes continúan refinando los ataques bancarios en Android mediante mecanismos de accesibilidad, superposiciones para engañar al usuario y comunicaciones con servidores C2. La clave para reducir el riesgo está en limitar permisos, desconfiar de instalaciones inesperadas y mantener una vigilancia activa sobre tu dispositivo y tus cuentas.
Fuente: https://thehackernews.com/2026/08/toxicpanda-20-and-golddigger-expand.html
