Usuarios de Android en España fueron blanco de una campaña de anuncios que ofrecía un servicio de televisión gratuito. Al intentar acceder, se les instaba a descargar una aplicación maliciosa llamada StreamRat, la cual, en lugar de ofrecer contenido, permitía a los criminales tomar el control remoto de sus teléfonos. Se estima que la campaña alcanzó a unos 570.000 usuarios.

Una oferta de televisión gratuita llevó a usuarios de Android a realizar una descarga peligrosa. Los anuncios de un servicio de streaming los instaban a instalar una aplicación que, en lugar de darles acceso a series, podía dar a los criminales el control de sus teléfonos. El malware detrás de la campaña se llama StreamRat.

Los anuncios estaban dirigidos a usuarios de habla hispana en España. Una campaña alcanzó a unos 570.000 usuarios de Meta entre el 11 de junio y el 3 de julio de 2026.

Eso mide el alcance del anuncio, no las infecciones. El señuelo recuerda a las aplicaciones de streaming falsas que propagan TrickMo en otra campaña de malware bancario para Android. Los analistas de Zimperium señalaron el uso de anuncios en redes sociales y un proceso de instalación por etapas.

Zimperium afirmó en un informe que StreamRat puede capturar contraseñas, observar pantallas y permitir que un operador controle los dispositivos infectados de forma remota.

El peligro va más allá del robo de credenciales. Un atacante que controle tu teléfono puede acceder a aplicaciones bancarias, mensajes y otras cuentas sensibles. La oferta parecía prometer entretenimiento, pero el objetivo era el acceso a tu información personal y cuentas financieras.

Los investigadores no han publicado un número confirmado de dispositivos infectados o ataques exitosos, por lo que no debes confundir la gran audiencia de la campaña publicitaria con el número de víctimas.

Una aplicación de streaming falsa

La operación comienza con anuncios que promocionan un servicio de TV gratuito en plataformas sociales. El sitio web vinculado comprueba si el visitante utiliza Android y oculta la opción de descarga para otros dispositivos.

Luego muestra instrucciones adaptadas al navegador o la aplicación social que utilizaste para abrir la página. Estas instrucciones te presionan para que permitas la instalación desde fuera de la tienda de aplicaciones habitual y para que actives la Accesibilidad, una función diseñada para ayudar a las personas a usar sus teléfonos.

Un abuso de permisos similar sustenta a los troyanos bancarios de Android que utilizan superposiciones, los cuales pueden colocar páginas de inicio de sesión convincentes sobre aplicaciones genuinas.

La primera aplicación maliciosa, un "dropper", intenta convertirse en la pantalla de inicio predeterminada del teléfono. Al pulsar el botón de Inicio, el usuario es redirigido a sus instrucciones. Esta descarga e instala el troyano principal antes de abandonar ese rol.

Una vez que concedes el acceso de Accesibilidad, StreamRat puede observar lo que aparece en pantalla, registrar la información escrita y realizar toques o deslizamientos.

También enumera las aplicaciones instaladas e informa cuál está abierta. Esto ayuda al operador a decidir cuándo mostrar un inicio de sesión bancario falso o solicitar más datos.

El malware ofrece dos formas de ver la pantalla. Una utiliza el permiso regular de pantalla compartida de Android, mientras que la otra captura capturas de pantalla repetidamente a través de Accesibilidad sin un indicador de compartido. Cualquiera de las dos vistas permite acciones remotas, dejando que un atacante opere tu teléfono a distancia.

Pantallas ocultas y conexiones interrumpidas

StreamRat puede cubrir la pantalla con una imagen negra o una falsa actualización del sistema mientras el operador sigue trabajando detrás. Sus páginas de inicio de sesión falsas pueden recopilar los datos introducidos por la víctima. Juntas, estas herramientas aumentan el riesgo de actividad no autorizada en tu cuenta.

Antes de que se instale el malware final, el dropper también puede solicitar acceso a una VPN y crear una conexión que no transporta tráfico normal. Otras aplicaciones pierden temporalmente el acceso a internet, mientras que el dropper aún puede descargar su carga útil.

Los investigadores creen que esto puede interferir con los controles de seguridad basados en la nube, aunque no desactive todas las protecciones. Una pérdida de conectividad durante la instalación es algo que merece ser investigado.

El señuelo mezcla instrucciones de configuración ordinarias con solicitudes de permisos potentes. Otros malware de Android vendidos para control remoto han utilizado asimismo ofertas de streaming falsas para llevar a los usuarios a descargas dañinas.

Los investigadores encontraron un panel de control con roles de usuario separados y herramientas de creación de malware, lo que sugiere que múltiples operadores podrían usarlo. El método de entrega de la campaña puede cambiar, pero el punto crítico sigue siendo el mismo: que instales una aplicación no confiable y le concedas acceso al teléfono.

Debes evitar las descargas de aplicaciones ofrecidas a través de anuncios sociales o sitios web desconocidos, y cuestionar cualquier aplicación de streaming que solicite Accesibilidad, captura de pantalla o acceso a VPN.

Las organizaciones deberían revisar los teléfonos que muestren cambios inesperados en los permisos, cambios en la pantalla de inicio predeterminada o instalaciones desde fuentes no aprobadas. Para contextualizar, el malware bancario que utiliza páginas de descarga falsas presenta una advertencia similar sobre las instalaciones engañosas de aplicaciones.