Ha surgido un nuevo y peligroso troyano bancario para Android llamado OverlayPhantom, que ha estado afectando a usuarios en diez países desde mayo de 2025. Este malware pone en grave riesgo las credenciales bancarias, los datos financieros y las cuentas de criptomonedas. El software se propaga mediante enlaces maliciosos que se hacen pasar por descargas de aplicaciones conocidas y confiables.

Un nuevo y peligroso troyano bancario para Android llamado OverlayPhantom ha estado atacando silenciosamente a usuarios en diez países, poniendo en grave riesgo las credenciales bancarias, los datos financieros y las cuentas de criptomonedas.

El malware ha estado activo desde mayo de 2025 y se propaga a través de enlaces maliciosos disfrazados de descargas de aplicaciones conocidas y confiables.

Lo que hace que OverlayPhantom sea particularmente alarmante es cómo llega al dispositivo. Utiliza un proceso de infección de dos etapas, comenzando con una aplicación "dropper" que finge ser ID Austria, la aplicación oficial de identidad del gobierno austriaco, o la popular plataforma TikTok.

Engañan a las víctimas para que instalen lo que parece ser una actualización rutinaria del sistema y, a partir de ese momento, el malware toma el control.

Analistas de Cyble Research and Intelligence Labs (CRIL) descubrieron OverlayPhantom mientras investigaban campañas de suplantación de URL con temática gubernamental.

Cyble afirmó en un informe que el malware tiene como objetivo más de 180 aplicaciones bancarias, de servicios financieros y de criptomonedas en Estados Unidos, Australia, Alemania, Francia, Bélgica, Finlandia, Países Bajos, Italia, España y el Reino Unido.

Una vez instalado, OverlayPhantom se disfraza de "Google Play Services", lo que hace que sea casi imposible de detectar o eliminar para un usuario promedio.

Desde esa posición, abusa del Servicio de Accesibilidad de Android, una función integrada diseñada para ayudar a usuarios con discapacidades, para tomar el control persistente del dispositivo infectado.

El atacante puede entonces emitir más de 30 comandos remotos para manipular el dispositivo sin que la víctima se dé cuenta.

La amplitud de su alcance, sumado a la sofisticación técnica de su diseño, apunta a un grupo motivado financieramente que opera una red de fraude a gran escala.

Con más de 180 aplicaciones objetivo y víctimas distribuidas en mercados occidentales, OverlayPhantom está lejos de ser una campaña pequeña.

Troyano Bancario de Android OverlayPhantom

El abuso del Servicio de Accesibilidad es lo que le da a OverlayPhantom su verdadero poder sobre los dispositivos infectados. Una vez que tú otorgas este permiso, guiado por un tutorial integrado en la aplicación dropper, el malware se conecta a su servidor de Comando y Control (C&C) en la dirección IP 199.217[.]99[.]122.

El tráfico de C&C se divide en tres puertos dedicados: el puerto 9091 para emitir comandos, el puerto 9092 para actualizaciones del estado del dispositivo y el puerto 9090 para la transmisión de la pantalla en vivo.

Esta configuración de múltiples puertos mantiene la comunicación funcionando de manera confiable y hace que sea más difícil de bloquear. El malware utiliza la API MediaProjection de Android para transmitir la pantalla de la víctima casi en tiempo real mediante compresión JPEG, dándole al atacante una vista en vivo de todo lo que ocurre en el dispositivo.

El conjunto de comandos remotos cubre una amplia gama de acciones. El atacante puede simular toques, deslizamientos y pulsaciones largas, bloquear la pantalla, manipular el contenido del portapapeles, mostrar notificaciones falsas y lanzar ventanas superpuestas para capturar códigos PIN o contraseñas.

Estos controles permiten que el actor de la amenaza realice transacciones no autorizadas sin que tú llegues a saberlo.

Ataques de Superposición Dirigidos a Apps Bancarias y de Criptomonedas

OverlayPhantom mantiene una lista predefinida de aplicaciones objetivo integrada en su código. Cuando abres una aplicación bancaria o financiera, el malware comprueba silenciosamente si esa aplicación está en su lista.

Si hay una coincidencia, despliega una página de phishing HTML falsificada, la renderiza en una capa WebView y la coloca sobre la aplicación legítima. La pantalla falsa se ve idéntica a la real.

La víctima introduce sus credenciales creyendo que está iniciando sesión en su banco o cartera de criptomonedas real. Esos datos son recolectados instantáneamente y enviados al servidor C&C sin dejar ningún signo visible de compromiso.

Esta técnica de superposición es precisamente lo que hace que OverlayPhantom sea tan efectivo y difícil de detectar para las víctimas.

Para mantenerte protegido, solo debes descargar aplicaciones desde plataformas oficiales como la Google Play Store y evitar hacer clic en enlaces recibidos a través de SMS, correo electrónico o redes sociales.

Debes evitar a toda costa otorgar permisos del Servicio de Accesibilidad a cualquier aplicación desconocida. Activar la autenticación de múltiples factores en tus aplicaciones bancarias y financieras añade una capa de defensa crítica, incluso si tus credenciales son robadas.

Mantener el sistema operativo Android y las aplicaciones instaladas regularmente actualizadas es igualmente importante, ya que los parches de seguridad suelen cerrar las vulnerabilidades exactas que explota el malware como OverlayPhantom.

Indicadores de Compromiso (IoCs):-

Tipo	Indicador	Descripción
URL	hxxps://bitlrewards-app[.]com/api/download/IDAustria	URL de distribución utilizada para propagar OverlayPhantom
IP	199.217[.]99[.]122	Dirección IP del servidor C&C
Hash de Archivo (SHA-256)	9ef37376bfaa18e193cc72218924ad8ebf56d2667d348f0eae5ae6ec45ab8775f	Hash de muestra del malware OverlayPhantom
Hash de Archivo (SHA-256)	8b614a2918378063d6e6655b676ceb52ae65b1510e2cc08087fcac31acb7aeb8d	Hash de muestra del malware OverlayPhantom
Hash de Archivo (SHA-256)	dc1f2a75f3d5b5bd054a5367bd5015ebc90f3453d63c7cce438c12dc2ae86a	Hash de muestra del malware OverlayPhantom

Nota: Las direcciones IP y los dominios han sido intencionalmente desactivados (ej., [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.

Fuentes:
https://cybersecuritynews.com/android-banking-trojan-overlayphantom/