Ciberdelincuentes han puesto su mira en usuarios de Android mediante un elaborado esquema de phishing que disfraza aplicaciones maliciosas como oportunidades de prueba beta para ChatGPT y herramientas publicitarias de Meta. Lo que parece ser una invitación legítima para probar una app se convierte en un intento cuidadosamente planeado para robar credenciales de Facebook y tomar el control total de las cuentas de los usuarios. 

Los cibercriminales han puesto su mira en los usuarios de Android mediante un sofisticado esquema de phishing que disfraza aplicaciones maliciosas como oportunidades de beta-testing para herramientas de ChatGPT y publicidad de Meta.

Lo que parece ser una invitación legítima para probar una app resulta ser un intento cuidadosamente planeado para robar credenciales de Facebook y tomar el control total de las cuentas de los usuarios.

Esta campaña refleja un patrón creciente en el que los actores de amenazas explotan la confianza generalizada que las personas depositan en marcas de IA conocidas para instalar malware directamente en sus dispositivos móviles.

El ataque comienza con un correo electrónico de invitación que parece completamente rutinario. Los mensajes llegan desde firebase-noreply@google.com, una dirección genuina vinculada a la plataforma Firebase App Distribution de Google, que los desarrolladores usan regularmente para compartir versiones preliminares de aplicaciones con un grupo selecto de probadores.

Dado que el correo proviene de una dirección real de un servicio de Google, la mayoría de los destinatarios no tienen motivos para cuestionar su legitimidad.

Estos mensajes piden a los usuarios probar lo que parecen ser versiones de acceso anticipado de aplicaciones de ChatGPT y herramientas publicitarias de Meta para Android, y al hacer clic, se instalan archivos APK maliciosos fuera de la Play Store oficial.

Los analistas de SpiderLabs de LevelBlue identificaron esta campaña dirigida a Android como una continuación directa de una operación de phishing anterior que había atacado a usuarios de iOS.

En esa campaña previa, los atacantes suplantaban a ChatGPT y Google Gemini para distribuir aplicaciones falsas en dispositivos Apple a través de la App Store.

Con Android ahora en la mira, los actores de amenazas parecen estar ejecutando una operación coordinada y multiplataforma diseñada para abarcar la mayor cantidad posible de usuarios móviles a nivel global.

La campaña salió a la luz a finales de marzo de 2026, y los nombres de los paquetes maliciosos asociados a la operación incluyen com.OpenAIGPTAds, com.opengpt.ads y com.meta.adsmanager.

Estos identificadores de paquetes están diseñados para parecer nombres plausibles de herramientas publicitarias impulsadas por IA, lo que los hace más difíciles de cuestionar sin un análisis más detallado.

Una vez instaladas, las aplicaciones muestran lo que parece ser una página real de inicio de sesión de Facebook, solicitando al usuario que ingrese sus credenciales.

El objetivo final es el secuestro de cuentas, lo que permite a los atacantes acceder a cuentas empresariales y publicitarias de Facebook que pueden ser utilizadas para campañas de anuncios no autorizadas o un robo de datos más amplio.

Cómo Firebase App Distribution se convierte en el conducto del ataque

El aspecto técnicamente más llamativo de esta campaña es cómo convierte Firebase App Distribution en un mecanismo de entrega de malware.

Firebase App Distribution es un servicio de Google que permite a los desarrolladores enviar versiones de prueba de sus aplicaciones a un pequeño grupo de usuarios antes de un lanzamiento público completo.

Las personas que participan regularmente en pruebas de aplicaciones están acostumbradas a confiar en estos correos de invitación, y los atacantes explotan precisamente ese hábito.

Los correos de phishing son indistinguibles de una invitación genuina de un desarrollador, lo que no da a los destinatarios ninguna pista visual obvia de que algo anda mal.

Al enrutar la entrega a través de un canal establecido de Google, los atacantes evitan dos señales de alerta que los usuarios cuidadosos suelen vigilar: una dirección de remitente sospechosa y un enlace de descarga no oficial.

Dado que el correo llega desde firebase-noreply@google.com y la aplicación se distribuye a través de la infraestructura propia de Google, ni el filtro de spam del cliente de correo ni los instintos naturales del usuario probablemente levantarán sospechas.

Las aplicaciones se instalan fuera de la Play Store, evitando por completo el proceso de revisión de Google, lo que permite que el comportamiento malicioso llegue al dispositivo sin ser detectado.

Los investigadores de SpiderLabs también identificaron varios dominios de correo maliciosos que respaldan activamente esta campaña, incluyendo thcsmyxa-nd[.]com, moitasec[.]com, tourmini[.]site, ocngongiare[.]com, disanviet[.]homes y itrekker[.]space.

Los equipos de seguridad y los individuos deben tratar estos dominios como indicadores activos de compromiso y bloquearlos a nivel de red sin demora.

Los usuarios de Android deben tratar cualquier invitación no solicitada para probar aplicaciones con extrema precaución, incluso aquellas que parezcan provenir de direcciones de Google. Las aplicaciones solo deben descargarse desde la Google Play Store oficial.

Nunca debes ingresar tus credenciales de Facebook dentro de una aplicación que no se haya descargado a través de un canal confiable y verificado.

Se recomienda a los administradores de red y equipos de seguridad bloquear de inmediato los dominios maliciosos identificados, y las organizaciones deben asegurarse de que sus empleados estén bien informados sobre esta forma específica y cada vez más común de ingeniería social.