StreamRat, el troyano para Android distribuido mediante falsos anuncios de streaming en Meta

Una campaña dirigida a usuarios españoles

ThreatFabric publicó el 2 de septiembre de 2026 un análisis de StreamRat, un nuevo troyano bancario para Android capaz de obtener un control casi completo de los dispositivos infectados. El malware se promocionó mediante una falsa oferta de streaming televisivo dirigida principalmente a usuarios hispanohablantes, con especial atención a España.

La campaña publicitaria en Meta permaneció activa del 11 de junio de 2026 al 3 de julio de 2026 y fue identificada a finales de julio de 2026. Según los datos disponibles, los anuncios podrían haber alcanzado a 570.950 cuentas de Meta en la Unión Europea, cada una de ellas expuesta al menos una vez.

Esta cifra mide el alcance potencial de la publicidad, no el número de infecciones. No se han comunicado ni el total de dispositivos comprometidos ni el número de víctimas confirmadas.

Los banners podrían haber aparecido tanto en Facebook como en Instagram, pero no se ha determinado qué servicio representó el principal canal de distribución. También surgieron elementos relacionados con TikTok: el código de la página utilizada para distribuir el APK podía reconocer TikTok como aplicación de origen. Sin embargo, no se dispone de anuncios verificables ni de datos que demuestren el alcance de una posible campaña en esa plataforma.

Del falso servicio de televisión a la instalación de dos APK

La infección no explota una vulnerabilidad de Android. En su lugar, requiere que la víctima descargue manualmente una aplicación externa y apruebe una serie de solicitudes especialmente invasivas.

El anuncio dirige a un sitio web controlado por los operadores. La página identifica el sistema operativo del visitante y, en el caso de Android, muestra un botón para descargar un archivo denominado app.apk.

Este primer APK actúa como dropper, es decir, como el componente encargado de preparar el dispositivo e instalar el malware principal. Tras iniciarse, solicita convertirse en la aplicación de inicio predeterminada. Si el usuario acepta, la interfaz del dropper vuelve a aparecer cada vez que se pulsa el botón de inicio, lo que dificulta interrumpir el procedimiento.

A continuación, el programa solicita permiso para crear una conexión VPN. Una vez autorizada, la VPN dirige el tráfico del dispositivo hacia una interfaz que en realidad no reenvía los datos, al tiempo que excluye al propio dropper del bloqueo. Las demás aplicaciones pierden temporalmente el acceso a Internet, pero el componente malicioso puede seguir descargando el payload.

StreamRat se deposita en el directorio público Downloads con un nombre con el siguiente formato:

update_{timestamp}.apk

Después, el dropper induce al usuario a habilitar la instalación desde orígenes desconocidos e inicia el mecanismo estándar de Android para instalar el segundo paquete. Tras ejecutarse el payload, la VPN se cierra y la conectividad vuelve a estar disponible. En ese momento, StreamRat puede contactar con su infraestructura de comando y control.

La desconexión parece diseñada para interferir con las comprobaciones de reputación en línea y con algunas verificaciones realizadas durante la instalación. La técnica no neutraliza por completo Google Play Protect, que conserva capacidades de detección sin conexión para aplicaciones maliciosas ya conocidas.

Accessibility allana el camino al control remoto

Tras iniciarse, StreamRat solicita acceso a los servicios de Accessibility de Android. Estas funciones están diseñadas para ayudar a personas con discapacidad, pero también proporcionan una visibilidad profunda de la interfaz y la capacidad de interactuar con los elementos mostrados.

Con el permiso activo y la conexión con el servidor C2 establecida, los operadores pueden registrar lo que se escribe, leer el contenido mostrado en pantalla y enviar comandos de forma remota. El malware también puede superponer ventanas falsas sobre aplicaciones legítimas, induciendo a la víctima a introducir credenciales bancarias u otros datos confidenciales.

StreamRat dispone de dos métodos para capturar la pantalla. El primero utiliza la API de Android MediaProjection, que normalmente muestra una solicitud de consentimiento y un indicador durante la compartición. Sin embargo, una vez obtenido el acceso a Accessibility, el troyano puede interactuar con la ventana de autorización, reduciendo el control efectivo del usuario.

El segundo método aprovecha el recurso de Accessibility takeScreenshot(). Esta vía permite capturar imágenes sin depender del indicador normalmente asociado a MediaProjection.

Al combinar capturas de pantalla, keylogging, overlays y control de la interfaz, los operadores pueden vigilar las actividades de la víctima e interactuar con aplicaciones financieras. Por tanto, el riesgo no se limita a las contraseñas: también pueden quedar expuestos códigos temporales, mensajes, saldos, datos personales e información mostrada durante una sesión bancaria.

No se ha publicado un intervalo preciso de versiones de Android afectadas o compatibles. La exposición depende principalmente de la instalación del APK externo y de la concesión de los permisos solicitados.

Similitudes con la operación Mirax anterior

El payload analizado procedía de una cuenta de GitHub que ThreatFabric relaciona con una campaña anterior denominada Mirax. El dropper también presenta grandes similitudes con el software utilizado en esa operación.

Un análisis de Cleafy sobre Mirax describió el uso de las releases de GitHub para alojar los droppers, junto con enlaces alternativos y actualizaciones diarias de los paquetes. StreamRat podría formar parte de una continuidad operativa basada en las mismas técnicas de distribución y en partes de una infraestructura ya utilizada.

No obstante, los elementos disponibles no permiten una atribución definitiva. ThreatFabric considera probable la participación de desarrolladores con experiencia en malware para Android, pero no ha atribuido StreamRat a un grupo criminal identificado.

Package, hashes y servidores que deben buscarse

Los administradores y responsables de la seguridad móvil pueden comprobar la presencia de las dos muestras identificadas.

Indicador	Muestra 1	Muestra 2
Nombre de la aplicación	StrεαmTV Pro	Sistema de vídeo
Package	io.base.one887	io.meat.hint
SHA-256	e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c	ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3

Las direcciones IP asociadas a la infraestructura C2 son:

45.147.28[.]59
193.32.2[.]245

Además de los indicadores estáticos, conviene buscar cambios anómalos en la configuración del dispositivo: nuevas aplicaciones de inicio predeterminadas, VPN creadas recientemente, acceso a Accessibility concedido a software desconocido y permisos para grabar la pantalla.

El directorio Downloads merece una revisión específica. La presencia de archivos con el patrón update_{timestamp}.apk, especialmente junto con uno de los package indicados, constituye una señal relevante. Los hashes permiten identificar con precisión las muestras conocidas, pero las variantes recompiladas podrían generar valores diferentes.

Cómo actuar ante un dispositivo sospechoso

Una aplicación de streaming no tiene ningún motivo legítimo para convertirse en el launcher predeterminado, crear una VPN, instalar otros APK y obtener acceso a Accessibility. La combinación de estas solicitudes debería llevar a interrumpir de inmediato la instalación.

Google Play Protect debe permanecer activo. Aunque no garantiza el bloqueo de todas las variantes, puede detectar sin conexión aplicaciones potencialmente dañinas que ya estén catalogadas.

Si se sospecha una infección, el dispositivo debe aislarse de la red. A continuación, hay que revocar el acceso a Accessibility, eliminar los privilegios relacionados con la pantalla de inicio, borrar las VPN desconocidas y desinstalar los packages maliciosos. Los APK restantes en la carpeta Downloads deben eliminarse después de recopilar los elementos necesarios para el análisis.

La limpieza técnica no resuelve por sí sola el problema. Todas las credenciales utilizadas en el teléfono durante la posible intrusión deben considerarse expuestas, especialmente las bancarias. Es recomendable cambiarlas desde un dispositivo de confianza, revisar las sesiones activas y comprobar si existen operaciones financieras o accesos no reconocidos.