Un nuevo troyano bancario para Android llamado Perseus ha surgido en la naturaleza, representando el siguiente paso en la evolución continua del malware móvil. Construido sobre el código fuente filtrado de Cerberus y basado directamente en el código de Phoenix, Perseus refina y amplía las capacidades de sus predecesores. Combina el robo de credenciales, la monitorización del dispositivo en tiempo real

Ha surgido un nuevo troyano bancario para Android llamado Perseus, representando el siguiente paso en la evolución continua del malware móvil.

Construido sobre el código fuente filtrado de Cerberus y basado directamente en el código de Phoenix, Perseus refina y extiende las capacidades de sus predecesores. Combina el robo de credenciales, la monitorización del dispositivo en tiempo real y una capacidad rara vez vista: leer silenciosamente notas personales de un dispositivo infectado, lo que lo convierte en una de las amenazas más sofisticadas de Android activas en este momento.

El malware se propaga a través de campañas dirigidas principalmente a usuarios en Turquía e Italia, aunque su alcance se extiende a Polonia, Alemania, Francia, los Emiratos Árabes Unidos, Portugal y plataformas de criptomonedas.

Los actores de amenazas lo distribuyen a través de aplicaciones falsas de IPTV, una táctica que evita la Google Play Store al explotar la familiaridad de los usuarios con la instalación de archivos APK. Disfrazado como un servicio de streaming legítimo, Perseus reduce la sospecha del usuario y mejora las tasas de infección. También se utiliza una aplicación dropper para eludir las restricciones de instalación de Android 13+, haciendo que el proceso de infección sea significativamente más difícil de detectar.

Los analistas de ThreatFabric identificaron el malware como parte de una campaña activa y señalaron sus conexiones con infraestructuras compartidas con otras familias conocidas, incluyendo Medusa y Klopatra.

El nombre del malware fue tomado directamente del panel de inicio de sesión C2 observado durante varios análisis de campaña, confirmando que se trata de una amenaza deliberada y construida con un propósito específico.

Los analistas también identificaron dos ramas principales: una escrita en inglés con amplias funciones de depuración y una versión más discreta en turco, ambas dirigidas activamente a instituciones financieras y datos de usuarios en múltiples regiones.

Una vez instalado, Perseus solicita permisos de Accessibility Service, que se convierten en la columna vertebral de su operación. Estos permisos le permiten monitorizar la pantalla, interceptar la entrada del usuario y simular interacciones táctiles sin mostrar signos visibles de actividad.

El malware lanza ataques de superposición mostrando páginas de inicio de sesión falsas sobre aplicaciones bancarias legítimas, mientras que su capacidad de keylogging registra todo lo que escribe el usuario.

Cuando se combina con sus funciones de control remoto, esto otorga a un atacante un control interactivo completo sobre el dispositivo comprometido, permitiéndole realizar fraudes y autorizar transacciones sin el conocimiento de la víctima.

El impacto más amplio de Perseus es difícil de subestimar. Dirigido a más de 50 instituciones en ocho países y nueve plataformas de criptomonedas, representa una grave amenaza financiera. Su capacidad para realizar una toma completa del dispositivo mientras permanece oculto demuestra hasta dónde ha avanzado el malware bancario moderno para Android.

Robar notas: una capacidad que otros no tienen

Lo que diferencia a Perseus de la mayoría de los troyanos bancarios de Android es su capacidad para atacar aplicaciones de toma de notas en el dispositivo de la víctima.

Muchas personas almacenan contraseñas, frases de recuperación de criptomonedas y detalles de cuentas financieras en aplicaciones de notas, a menudo sin darse cuenta del riesgo. Perseus explota esto a través de un comando llamado scan_notes, que identifica las aplicaciones de notas instaladas y abre silenciosamente cada una para leer su contenido almacenado, todo sin ninguna interacción del usuario.

Perseus ejecuta este proceso utilizando los Android Accessibility Services para navegar de forma autónoma por la interfaz de cada aplicación. Se mueve a través de notas individuales, activa acciones de toque para abrir entradas, captura el texto y luego realiza una acción de navegación hacia atrás antes de pasar a la siguiente. Toda la rutina se ejecuta silenciosamente en segundo plano sin indicación visible para la víctima. Todos los datos de notas capturados se registran y se envían al servidor de comando y control del atacante junto con otras credenciales robadas e información del dispositivo.

Las aplicaciones monitorizadas por Perseus incluyen Google Keep, Xiaomi Notes, Samsung Notes, ColorNote, Evernote, Microsoft OneNote, Simple Notes Pro y Simple Notes. Este amplio enfoque refleja un esfuerzo calculado para extraer datos personales y financieros de alto valor que las víctimas suelen asumir que están seguros en sus propios dispositivos.

Tú debes evitar instalar aplicaciones desde fuera de las tiendas oficiales de aplicaciones y asegurarte de que Google Play Protect permanezca activado. Mantener los dispositivos Android actualizados con los últimos parches de seguridad es un paso crítico para reducir la exposición a amenazas como Perseus. Lo más importante es que nunca debes almacenar contraseñas, frases de recuperación de billeteras o credenciales sensibles dentro de aplicaciones de toma de notas, ya que el malware que abusa de los Accessibility Services puede acceder a esos datos sin alertar nunca al propietario del dispositivo.