StreamRAT es un nuevo troyano bancario para Android que permite a los ciberdelincuentes tomar el control total de los dispositivos infectados. Mediante el uso de VNC y servicios de accesibilidad, el malware puede visualizar la pantalla, ejecutar acciones remotas y desplegar ventanas de inicio de sesión falsas para robar cuentas. Esta campaña ha estado dirigida específicamente a usuarios de habla hispana a través de anuncios en TikTok y plataformas de Meta.

StreamRAT es un nuevo troyano bancario para Android que otorga a los criminales un control amplio sobre el teléfono infectado. Combina ofertas de streaming con visualización de pantalla, acciones remotas y ventanas de inicio de sesión engañosas, convirtiendo la descarga de una aplicación en la toma de control de tu cuenta.

La campaña se dirigió a usuarios de Android de habla hispana a través de anuncios en las plataformas de Meta y TikTok. Una campaña publicitaria observada llegó a 570,000 usuarios de Meta entre el 11 de junio y el 3 de julio de 2026, principalmente en España. El malware fue identificado mientras se rastreaba la campaña Steamtv Esp, centrada en el streaming.

Los operadores utilizaron un sitio de phishing y un proceso de instalación de varias etapas para inducir a los visitantes a instalar un paquete de Android fuera de los canales oficiales.

Threat Fabric afirmó en un informe que la cadena de descarga se basó en un repositorio de GitHub vinculado a la distribución de Mirax, lo que demuestra cómo los operadores reutilizaron la infraestructura de entrega mientras cambiaban la carga útil final.

Esta operación es importante porque StreamRAT mezcla funciones de fraude bancario con herramientas que permiten a un operador observar y manipular tu dispositivo en tiempo real.

Su panel de control también parece estar diseñado para un modelo de malware como servicio (MaaS), lo que podría permitir que otros clientes ejecuten campañas utilizando el mismo marco de trabajo.

StreamRAT utiliza VNC y Accesibilidad para el control del dispositivo

Después de la instalación, StreamRAT te pide que habilites los Servicios de Accesibilidad de Android, una función legítima destinada a ayudar a los usuarios.

En las manos equivocadas, ese permiso puede leer lo que hay en pantalla y realizar acciones como toques, deslizamientos, volver al inicio o abrir notificaciones, como se ha visto en otras campañas de malware bancario para Android.

El troyano admite dos modos de visualización. Su opción de VNC utiliza el sistema de captura de pantalla de Android, mientras que el VNC oculto toma capturas de pantalla repetidas a través de la Accesibilidad sin un indicador directo de pantalla compartida. Ambos otorgan a los atacantes una vista de tu teléfono y permiten la interacción remota.

StreamRAT también puede reconstruir la pantalla como texto de interfaz estructurado, capturar datos escritos, listar las aplicaciones instaladas y mostrar superposiciones para robar credenciales.

Una pantalla negra o una pantalla de actualización falsa pueden bloquear la entrada táctil de la víctima mientras el operador continúa trabajando en segundo plano, un patrón relacionado con el abuso de la accesibilidad de Android.

El resultado es más que espionaje. Un operador puede monitorear la aplicación que abres, entregar una página falsa coincidente, recopilar los datos ingresados allí y usar la información de desbloqueo interceptada para acceder a tu dispositivo. Esa combinación pone en riesgo tus sesiones bancarias, mensajes y otras cuentas sensibles.

Cadena de entrega y riesgos de evasión

La infección comienza con anuncios en redes sociales que se hacen pasar por un servicio gratuito de streaming de televisión. El sitio señuelo verifica si usas Android, ajusta sus instrucciones según la aplicación utilizada para abrirlo y te guía para habilitar la instalación de fuentes desconocidas y los permisos de Accesibilidad.

Un "dropper" de primera etapa intenta convertirse en la aplicación de inicio predeterminada, manteniéndote dentro de su interfaz cuando presionas el botón de Inicio. Luego, recupera e instala la carga útil final.

Ingenierías sociales similares han aparecido en fraudes bancarios basados en llamadas telefónicas, donde los atacantes confían en la urgencia y en pantallas de apariencia familiar en lugar de un fallo de software.

Antes de descargar el malware final, el dropper puede crear una conexión VPN deliberadamente rota que interrumpe el acceso a internet, excluyéndose a sí mismo de dicha interrupción.

Los investigadores consideran que esto puede dificultar las comprobaciones de reputación en línea o el análisis basado en la nube, aunque no anula completamente la protección offline.

StreamRAT se comunica con su servidor de comando a través de conexiones WebSocket y evita desperdiciar ancho de banda omitiendo datos duplicados de pantalla e interfaz.

Este enfoque de ingeniería refleja la evolución de las amenazas móviles mediante WebSocket vista en otras amenazas de Android y sugiere un esfuerzo por hacer que las operaciones remotas sean fiables a gran escala.

Debes evitar las descargas de APK ofrecidas a través de anuncios, mensajes o sitios web no oficiales, especialmente servicios que prometen streaming gratuito o actualizaciones urgentes.

Debes denegar solicitudes inesperadas de Accesibilidad, instalación de aplicaciones desconocidas o acceso a VPN, y eliminar rápidamente cualquier aplicación que no reconozcas. Una aplicación que combine la capacidad de instalación con permisos de VPN merece un escrutinio inmediato.

Para las organizaciones, el monitoreo de dispositivos móviles debe alertar sobre actividad inusual de Accesibilidad, solicitudes inesperadas de captura de pantalla, cambios en el lanzador predeterminado y aplicaciones recién instaladas fuera de las tiendas gestionadas.

Los equipos de seguridad también pueden vigilar los indicadores a continuación, tratando los valores como pistas de detección más que como prueba de que cada dispositivo coincidente esté comprometido.

Fuentes:
https://cybersecuritynews.com/streamrat-android-trojan/