Una campaña de malware de Android recién descubierta ha estado robando dinero silenciosamente a usuarios móviles de cuatro países, registrándolos en servicios de pago que nunca solicitaron.

La operación funcionó durante casi diez meses y llevó a cabo un fraude financiero totalmente entre bastidores, utilizando versiones falsas de aplicaciones conocidas como su principal punto de entrada en los dispositivos de las víctimas.

La campaña se dirigió a usuarios en Malasia, Tailandia, Rumanía y Croacia, centrándose específicamente en personas suscritas a determinados operadores de red móvil.

En lugar de atacar ampliamente cualquier dispositivo Android en el que aterrizara, el malware comprobaba primero la tarjeta SIM de la víctima y solo actuaba si el operador coincidía con una lista preestablecida. Esta precisión hizo que el fraude fuera mucho más difícil de detectar y mucho más eficaz para evitar la atención de la seguridad.

Analistas de Zimperium dijeron en un informe compartido con Cyber Security News (CSN) que su equipo de zLabs descubrió casi 250 aplicaciones maliciosas vinculadas a esta campaña.

El malware explotaba los sistemas de facturación del operador, que permiten a los operadores móviles cobrar a los usuarios directamente a través de sus facturas telefónicas en lugar de requerir una tarjeta de crédito.

La campaña apareció por primera vez en marzo de 2025 y permaneció activa hasta enero de 2026. Incluso después de que se identificaran partes de la operación, parte de la infraestructura de soporte seguía activa en el momento de la publicación.

Aplicaciones falsas suplantaron a Facebook Messenger, Instagram Threads, TikTok, Minecraft y Grand Theft Auto para engañar a los usuarios y lograr que las instalaran.

Lo que hizo que esta campaña fuera especialmente peligrosa fue el uso de nombres e iconos reales de plataformas para parecer completamente confiables.

Una vez instalada, la aplicación realizaba su trabajo mientras mostraba contenido de apariencia inocente para mantener a las víctimas totalmente desprevenidas. Los usuarios no tenían motivo alguno para sospechar que algo iba mal.

Malware de Android suscribe silenciosamente a las víctimas

El equipo de zLabs identificó tres variantes distintas de malware, cada una utilizando un método diferente para completar suscripciones no autorizadas.

La variante más avanzada comenzaba leyendo el operador móvil de la víctima a partir de los datos de la tarjeta SIM, y luego lanzaba un flujo de trabajo de suscripción automatizado sin ninguna señal visible de actividad para el usuario.

Esta primera variante utilizaba páginas web ocultas cargadas en segundo plano, todas apuntando a portales de facturación del operador. Comandos de JavaScript hacían clic automáticamente en el botón de suscripción, rellenaban los códigos OTP interceptados y confirmaban la transacción.

El malware también desactivaba el Wi-Fi del dispositivo, forzando todo el tráfico a través de la red celular requerida para que la facturación del operador tuviera éxito. La segunda variante se dirigía a usuarios tailandeses y combinaba el fraude de SMS silenciosos con el secuestro de sesiones de navegador.

Se contactaba con un servidor remoto para obtener instrucciones de suscripción actualizadas, lo que permitía a los atacantes cambiar los objetivos sin tener que lanzar una nueva versión de la aplicación. También robaba cookies del navegador de las páginas de facturación del operador para mantener el acceso autenticado a las cuentas de las víctimas.

Una tercera variante añadía informes en tiempo real a través de Telegram. Cada vez que el malware se instalaba, obtenía permisos o enviaba un SMS premium, enviaba un mensaje instantáneo a un canal privado controlado por los atacantes. Cada informe incluía el ID del dispositivo, el nombre del operador, la identidad de la aplicación falsa y la acción específica realizada.

En las tres variantes, un sistema de seguimiento de referidores etiquetaba cada infección con el nombre de la aplicación falsa, el país y la plataforma de distribución. Esto proporcionaba a los atacantes métricas detalladas sobre qué aplicaciones falsas y plataformas sociales producían las infecciones más exitosas.

Tácticas de evasión y cómo mantenerte protegido

Una de las características más ingeniosas de este malware era su comportamiento en dispositivos no seleccionados. En lugar de quedar inactivo, la aplicación cargaba una página web inofensiva para parecer completamente normal, manteniendo las aplicaciones maliciosas vivas en los dispositivos mucho más tiempo de lo esperado.

Para protegerte contra amenazas como esta, solo debes descargar aplicaciones de tiendas oficiales y ser cauteloso con cualquier aplicación que solicite permisos de lectura de SMS.

Revisar las facturas telefónicas regularmente para detectar cargos desconocidos es una forma práctica de detectar suscripciones no autorizadas a tiempo. Mantener actualizado el software de seguridad móvil añade otra capa importante de defensa contra el fraude de facturación del operador.

Indicadores de Compromiso (IoCs):-

Los siguientes indicadores de infraestructura fueron identificados por el equipo de zLabs de Zimperium como parte de esta campaña de fraude de facturación del operador.

Nota: Las direcciones IP y los dominios han sido neutralizados intencionadamente (por ejemplo, [.]) para evitar la resolución accidental o el hipervínculo. Solo debes reactivarlos dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.