ToxicPanda 2.0: el troyano bancario Android que ahora apunta a la identidad empresarial

Un troyano bancario nacido para vaciar cuentas corrientes en América Latina y en Europa se ha transformado en una amenaza mucho más ambiciosa. ToxicPanda 2.0, la nueva variante analizada por los investigadores de Zimperium zLabs (autor Vishnu Pratapagiri), ya no se limita a interceptar credenciales bancarias: apunta a asumir el control total del dispositivo Android, a persistir en el tiempo y a usar el smartphone como trampolín hacia los recursos empresariales. Las cifras de la investigación muestran la evolución: 167 nuevos comandos remotos, un objetivo que pasó de 16 instituciones financieras a 349 aplicaciones entre banca, monederos electrónicos y criptomonedas, y una presencia observada en 16 países. La primera aparición de ToxicPanda se remonta a noviembre de 2024, cuando el malware operaba en América Latina, Italia, Portugal y España. Hoy la variante 2.0 cambia de escala y ambiciones.

De América Latina a los dispositivos empresariales: qué ha cambiado

En noviembre de 2024, ToxicPanda era un clásico troyano bancario Android: tomaba el control del dispositivo infectado para facilitar transacciones fraudulentas, con un enfoque en un número reducido de instituciones financieras. La nueva versión, descubierta recientemente, ha ampliado drásticamente su radio de acción.

El salto más evidente está en el número de aplicaciones objetivo: de 16 a 349. Ya no se trata solo de apps bancarias, sino también de monederos electrónicos y carteras de criptomonedas. Esto significa que el malware no busca solo la cuenta corriente de la víctima, sino todo tipo de valor digital accesible desde el teléfono, incluidas las claves para acceder a fondos descentralizados.

Pero la expansión geográfica es igualmente relevante. Si la primera versión afectaba a cuatro países, la variante 2.0 se ha observado en 16. No se han revelado cuáles, pero la diversificación sugiere una campaña distribuida a mayor escala, probablemente facilitada por infraestructuras en la nube difíciles de bloquear.

Los investigadores de Zimperium zLabs identificaron esta evolución analizando el código y los servidores de comando y control. La adición de 167 comandos remotos es un indicador claro: ToxicPanda ya no es una simple herramienta para robar contraseñas, sino una plataforma modular lista para ejecutar nuevas funciones según el contexto.

Cómo roba el PIN: el overlay de la pantalla de bloqueo

Uno de los nuevos comportamientos más peligrosos es el uso de un overlay de la pantalla de bloqueo. Cuando la víctima desbloquea el teléfono, el malware superpone una falsa pantalla de bloqueo que registra el PIN o la secuencia introducida. El dato robado, almacenado en claro o transferido al servidor del atacante, permite superar la primera barrera de protección del dispositivo.

Pero el robo del PIN no es un fin en sí mismo. ToxicPanda 2.0 también dispone de los privilegios necesarios para restablecer la contraseña del dispositivo. En combinación, estas dos capacidades permiten al atacante obtener el ancla de identidad más sólida que existe en un smartphone: el control completo del sistema operativo, con la posibilidad de autenticarse como legítimo propietario.

Esta combinación es devastadora porque el teléfono comprometido suele ser el mismo dispositivo que aprueba las solicitudes push de autenticación multifactor, custodia las passkeys y aloja las aplicaciones de trabajo. Si el malware logra entrar en el dispositivo como usuario privilegiado, todas las cuentas vinculadas se vuelven accesibles.

La puerta trasera: Wireless Debugging y ADB

El paso técnico más significativo se refiere al abuso de las funcionalidades de depuración de Android. Android 11 introdujo el Wireless Debugging, una función pensada para desarrolladores que permite conectar el teléfono a un ordenador sin cable USB. ToxicPanda 2.0 la transforma en una puerta trasera.

El mecanismo funciona así. A través de los servicios de accesibilidad, el malware activa las opciones de desarrollador en el dispositivo. Luego activa el Wireless Debugging, extrae el código temporal de emparejamiento requerido para asociar un cliente ADB (Android Debug Bridge) y completa la asociación con el servicio ADB del teléfono. En este punto, el atacante obtiene acceso a nivel de shell.

A partir de ahí, el juego está hecho: puede ejecutar comandos directos en el dispositivo, concederse permisos adicionales, debilitar las restricciones del sistema operativo, habilitar componentes del sistema y establecer persistencia. En la práctica, el malware transforma el teléfono en un endpoint controlado de forma remota, con los mismos poderes que un administrador.

Este ataque aprovecha una función legítima y necesaria para los desarrolladores, pero que en la mayoría de los dispositivos empresariales nunca debería estar activa. El problema es que su activación es silenciosa: no genera notificaciones visibles para el usuario medio y, a menudo, no es monitoreada por los sistemas de gestión.

La distribución pasa por AWS: la nube legítima como vector

Un elemento que complica la detección es la elección de la infraestructura de distribución. ToxicPanda 2.0 se sirve a través de buckets alojados en Amazon Web Services. No se trata de servidores a prueba de balas ni de dominios sospechosos: es infraestructura en la nube legítima, con certificados válidos y reputación limpia.

Esta elección hace más difícil bloquear la descarga del malware mediante listas negras o cortafuegos basados en reputación. Los buckets de AWS pueden crearse, renombrarse y reciclarse rápidamente, y el tráfico hacia ellos es indistinguible del que se dirige a servicios en la nube empresariales legítimos.

Para una empresa, esto significa que una simple política de bloqueo de dominios maliciosos no es suficiente. Se necesita un control más profundo, capaz de inspeccionar el contenido de los archivos descargados y de detectar comportamientos anómalos en el dispositivo, independientemente de su origen.

El impacto en la identidad digital y en los recursos empresariales

El daño económico directo a las 349 aplicaciones objetivo es solo la punta del iceberg. El control persistente del dispositivo permite al atacante manipular la autenticación, robar credenciales, alterar aplicaciones y usar el endpoint como trampolín hacia otros recursos empresariales.

Si el teléfono comprometido está registrado en los sistemas de identidad de la empresa, las consecuencias pueden ser graves. El atacante puede interceptar las solicitudes push de MFA, utilizar las passkeys almacenadas en el dispositivo, acceder al correo electrónico corporativo, a los documentos compartidos y a las aplicaciones SaaS. El teléfono se convierte en una llave universal.

Zimperium subraya que los tradicionales niveles de seguridad basados en firmas ya no son suficientes. La variante 2.0 está diseñada para escapar de las detecciones estáticas y para actuar en profundidad, aprovechando funcionalidades del sistema operativo que rara vez se comprueban.

Bradley Smith, SVP y deputy CISO de BeyondTrust, advierte especialmente sobre la combinación entre el robo del PIN y el restablecimiento de la contraseña del dispositivo. «El atacante obtiene el ancla de identidad», explica, «y con ella el acceso a todas las cuentas que dependen de ella». El riesgo, en resumen, no es la cuenta corriente individual: es toda la identidad digital de la víctima y de su empresa.

Qué pueden hacer las empresas: monitorizar las señales que ya existen

Las mitigaciones propuestas por Zimperium apuntan a una protección completa y de múltiples niveles, capaz de interrumpir el malware en varias fases de la cadena de ataque. No existe un único parche o configuración resolutiva: se necesita una combinación de controles técnicos y organizativos.

Bradley Smith de BeyondTrust indica tres acciones concretas. La primera es bloquear el sideloading en los dispositivos registrados en los sistemas de identidad empresariales: ToxicPanda 2.0 no pasa por las tiendas oficiales, por lo que impedir la instalación de aplicaciones desde fuentes desconocidas reduce drásticamente el riesgo inicial.

La segunda es tratar las concesiones de los servicios de accesibilidad como eventos de acceso privilegiado. En Android, los servicios de accesibilidad son una herramienta poderosa que permite a una aplicación leer y manipular la pantalla y las interacciones. ToxicPanda los explota para habilitar la depuración y robar credenciales. Cada concesión de estos permisos debería registrarse, verificarse y revocarse si no está justificada.

La tercera es generar alertas cuando las Opciones de desarrollador o el Wireless Debugging se activan en los dispositivos móviles gestionados. Estas señales ya son visibles en la mayoría de las plataformas MDM (Mobile Device Management), pero rara vez se monitorean. Una alerta oportuna puede detener el ataque antes de que el malware complete la asociación ADB y obtenga acceso a la shell.

En resumen, ToxicPanda 2.0 no es una amenaza que se resuelva con una actualización. Es un ataque que aprovecha funcionalidades legítimas del sistema e infraestructuras en la nube confiables. Las empresas deben activar controles que ya poseen pero que a menudo ignoran, y tratar los dispositivos móviles como endpoints críticos al igual que los servidores.