Una nueva versión del malware para Android GhostBat está atacando a usuarios de 60 aplicaciones de banca, UPI, billeteras digitales, fintech y pagos en la India. El software malicioso aprovecha el Servicio de Accesibilidad de Android para monitorear la actividad y capturar códigos PIN. Para lograr la infección, los atacantes utilizan mensajes falsos de mParivahan y eChallan para engañar a las víctimas y lograr que instalen las aplicaciones dañinas.

Una nueva versión del malware de Android GhostBat está atacando a usuarios de 60 aplicaciones bancarias, UPI, billeteras, fintech y de pago en la India. El malware puede abusar del Servicio de Accesibilidad de Android para vigilar la actividad en aplicaciones seleccionadas y capturar entradas similares a un PIN.

Sus operadores también están utilizando mensajes falsos de mParivahan y eChallan para engañar a la gente y que instalen aplicaciones dañinas. La actividad más reciente muestra que GhostBat ha crecido más allá de ser una amenaza de robo de SMS.

El malware puede recopilar mensajes y registros de llamadas, gestionar comandos de sus operadores y cambiar algunos de sus ajustes tras la instalación.

Esa combinación pone en riesgo a los usuarios de banca y pagos, incluso cuando abren la aplicación real y no ven una página de inicio de sesión falsa. Analistas de Cyble identificaron las nuevas capacidades mientras investigaban una operación más amplia que llaman GhostX.

Cyble afirmó que ha rastreado la actividad de GhostBat en la India desde octubre de 2025 y encontró vínculos entre el malware, aplicaciones falsas de servicios gubernamentales, páginas de phishing y un backend controlado por el operador.

Atacan 60 aplicaciones bancarias y de UPI en la India

La campaña comienza con smishing: mensajes de SMS o de aplicaciones de mensajería que contienen un enlace y se hacen pasar por una multa de tráfico o un aviso de servicio gubernamental.

El enlace puede abrir una página falsa de mParivahan o eChallan, o una página que parece una pantalla de descarga de Google Play. Se insta a las víctimas a instalar un archivo APK fuera de la tienda oficial de aplicaciones. Cyble también encontró APKs maliciosos compartidos a través de repositorios públicos de GitHub y archivos alojados.

Este enfoque se basa en la actividad anterior de GhostBat, en la que se utilizaban aplicaciones falsas de RTO para robar datos bancarios y leer mensajes SMS, incluidas las contraseñas de un solo uso.

Se han utilizado señuelos similares de challan falsos para propagar otros malwares de Android.

Una vez instalado, GhostBat puede solicitar acceso sensible, incluyendo el acceso al Servicio de Accesibilidad. Esta función de Android está diseñada para ayudar a las personas a usar sus dispositivos, pero el malware puede hacer un mal uso de ella para leer el contenido de la pantalla e interactuar con las aplicaciones.

Si la víctima concede el acceso, GhostBat puede comprobar qué aplicación está abierta y compararla con una lista de aplicaciones financieras seleccionadas por sus operadores.

Cyble encontró una función que llama Ghost Overlay, dirigida a Google Pay y MobiKwik. En lugar de mostrar una pantalla de pago falsa, el malware coloca áreas táctiles transparentes sobre el teclado del PIN en la aplicación genuina.

Registra los dígitos que tú pulsas y luego reproduce los mismos toques para que la aplicación de pago los reciba y continúe normalmente. Tú podrías permanecer en la pantalla real mientras GhostBat captura el PIN en segundo plano.

Una función independiente puede capturar entradas similares a un PIN en un conjunto más amplio de 60 aplicaciones de Android. Utiliza eventos de Accesibilidad y el contexto de la pantalla para identificar la posible entrada de un PIN, en lugar de depender de la superposición del teclado transparente.

Cyble mencionó aplicaciones como Google Pay, PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, Freecharge y PayZapp entre los servicios atacados. El informe indica que el conjunto completo de objetivos contiene 60 identificadores de paquetes de aplicaciones.

La captura del PIN se suma a la capacidad de GhostBat para recopilar mensajes SMS, incluyendo alertas bancarias y OTP, y para reunir detalles del registro de llamadas y de la SIM.

Los cargadores y los ajustes remotos complican la detección

El informe también describe controles de desvío de llamadas y actividad de SMS remota. Estas funciones podrían dar a los operadores varias rutas para monitorear un teléfono comprometido y apoyar el fraude financiero.

El código de entrega del malware ha cambiado entre las muestras. Cyble observó al menos seis tipos de cargadores o droppers, incluyendo contenedores APK cifrados, formatos de carga personalizados, carga de DEX en memoria y descargas remotas de APK.

La muestra más reciente utiliza una biblioteca nativa llamada libnetbridge.so y una cadena de etapas de cifrado, transformación y compresión para desempaquetar su carga final. Estas capas pueden dificultar que los escáneres básicos inspeccionen la aplicación oculta.

GhostBat también utiliza Firebase Remote Config para cambiar los ajustes sin distribuir un nuevo APK. La muestra analizada utilizó el proyecto de Firebase andromeda-d389d y un valor de base_url configurable.

Esto permite a los operadores cambiar el backend activo o las funciones seleccionadas de forma remota, por lo que un dominio observado en una muestra puede no seguir siendo la única dirección de comando y control.

Para tener contexto sobre otra amenaza de Android que abusa de la Accesibilidad para capturar PINs bancarios, consulta el informe sobre los métodos de captura de PIN de Manic.

Instala aplicaciones desde tiendas confiables y evita los enlaces de APK entregados a través de textos o mensajes inesperados. Verifica el editor y el propósito de una aplicación antes de conceder acceso a la Accesibilidad, SMS o notificaciones; una aplicación de servicio de vehículos no debería necesitar un acceso amplio a tu actividad financiera.

Mantén Android y tus aplicaciones actualizadas, y contacta con tu banco rápidamente si sospechas que tu teléfono o cuenta de pago han sido comprometidos. Cyble también te aconseja que reportes cualquier actividad sospechosa y consideres restablecer tus credenciales o el dispositivo cuando sospeches de una infección.

El riesgo central no es solo que GhostBat ataque muchas aplicaciones financieras, sino que su superposición transparente puede registrar los toques del PIN mientras la aplicación de pago genuina sigue en uso.

Los señuelos de servicios gubernamentales falsos, el amplio acceso a la Accesibilidad y los ajustes de backend modificables dan a los operadores múltiples formas de adaptar la campaña.

Fuentes:
https://cybersecuritynews.com/ghostbat-android-malware/