La primera familia de malware para Android conocida que utiliza un modelo de IA generativa, específicamente Google Gemini, como parte de su flujo de ejecución activo. Descubierto en febrero de 2026, este malware representa un paso evolutivo significativo en las amenazas móviles y sigue al hallazgo previo de ESET de PromptLock, el primer ransomware impulsado por IA, en agosto de 2025. PromptSpy fue descubierto por un investigador de ESET

La primera familia conocida de malware para Android que arma un modelo de IA generativa, específicamente Google Gemini, como parte de su flujo de ejecución activo. Descubierto en febrero de 2026, este malware representa un paso evolutivo significativo en las amenazas móviles y sigue al hallazgo previo de ESET de PromptLock, el primer ransomware impulsado por IA, en agosto de 2025.

PromptSpy, descubierto por el investigador de ESET Lukas Stefanko, tiene sus orígenes en una variante anterior llamada internamente VNCSpy, con tres muestras apareciendo en VirusTotal el 13 de enero de 2026, subidas desde Hong Kong.

Para el 10 de febrero de 2026, se subieron cuatro muestras más avanzadas que incorporaban el componente de IA Gemini desde Argentina, lo que llevó a ESET a designar a toda la familia como PromptSpy.

El malware se distribuye bajo el disfraz de una app de Android con temática de Chase Bank llamada MorganArg —probablemente una abreviatura de "Morgan Argentina"— a través del dominio de distribución ahora inactivo mgardownload[.]com, suplantando un portal de inicio de sesión para JPMorgan Chase Bank N.A.

Aunque no se han detectado infecciones en la telemetría de ESET, la existencia de esta infraestructura de distribución dedicada sugiere una intención de despliegue en el mundo real.

Cadenas de depuración y código escrito en chino simplificado, junto con manejadores de eventos de Accesibilidad localizados en chino, indican con confianza media que PromptSpy fue desarrollado en un entorno de habla china.

El malware tradicional para Android depende de coordenadas de pantalla codificadas o selectores de UI fijos para automatizar métodos de gestos que suelen fallar en diferentes fabricantes de dispositivos, tamaños de pantalla o versiones del sistema operativo Android.

PromptSpy evita esta limitación por completo al enviar a Gemini un mensaje en lenguaje natural junto con un volcado XML de la UI en vivo del dispositivo, exponiendo el texto, tipo y límites precisos en pantalla de cada elemento.

Gemini procesa esta información y devuelve instrucciones de toque y deslizamiento en formato JSON, lo que permite a PromptSpy ejecutar el gesto específico del dispositivo "bloquear app en apps recientes", fijando la app maliciosa MorganArg en la vista de multitarea con un icono de candado para que no pueda ser cerrada o eliminada por el sistema.

Esta interacción funciona como un bucle de retroalimentación continua: PromptSpy envía el contexto actualizado de la UI después de cada acción, Gemini devuelve el siguiente paso, y el ciclo termina solo cuando la IA confirma que la app ha sido bloqueada con éxito.

El modelo de IA y sus mensajes codificados son estáticos y no pueden modificarse en tiempo de ejecución, pero la toma de decisiones dinámica que permiten hace que PromptSpy se adapte a prácticamente cualquier dispositivo Android o versión del sistema operativo, ampliando drásticamente el grupo potencial de víctimas en comparación con sus predecesores basados en scripts.

Módulo VNC, capacidades y eliminación

Además de la persistencia asistida por IA, el objetivo principal de PromptSpy es desplegar un módulo VNC integrado, otorgando a los operadores control remoto total del dispositivo de la víctima. Se comunica con su servidor C&C codificado mediante el protocolo VNC usando cifrado AES.

Una vez que los Servicios de Accesibilidad están habilitados, el malware puede interceptar PINs de bloqueo y patrones de desbloqueo (capturados como grabaciones de video), tomar capturas de pantalla bajo demanda, registrar las aplicaciones instaladas, grabar la actividad de pantalla para apps especificadas por el atacante, y reportar la aplicación en primer plano y el estado de la pantalla.

PromptSpy además abusa de los Servicios de Accesibilidad como mecanismo anti-eliminación, superponiendo rectángulos transparentes invisibles sobre botones que contienen subcadenas como "detener", "finalizar", "limpiar" y "Desinstalar", interceptando silenciosamente los toques de la víctima. El único método efectivo de eliminación es reiniciar en Modo Seguro y navegar a Ajustes → Aplicaciones → MorganArg.

PromptSpy nunca ha aparecido en Google Play, y ESET compartió sus hallazgos con Google a través de la App Defense Alliance; Google Play Protect protege automáticamente a los usuarios de Android contra versiones conocidas de este malware.

Indicadores de Compromiso (IOCs)