Las capacidades de un virus cada vez son más amplias y los ciberdelincuentes se las apañan para mejorar sus herramientas gracias a innovaciones como la IA. Estos no dejan de evolucionar con el paso del tiempo y el último de ellos tiene como objetivo a los usuarios europeos. El nuevo troyano que está atacando Android se está expandiendo con rapidez debido a que funciona mediante anuncios fraudulentos y haciéndose pasar por una app para ver la TV.
Tal y como recoge el medio Bleeping Computer a partir de una investigación de Group-IB, este virus opera bajo el nombre de RemControl. Durante los últimos meses ha desplegado ataques en España, Italia, Francia y Portugal valiéndose de páginas clonadas de Google Play para engañar a los usuarios.
Una app falsa de IPTV encubierta
La aplicación en la que se esconde este troyano es IPTV TVTap. Además, para captar víctimas, el grupo detrás del virus contrató publicidad engañosa en plataformas de Meta con etiquetas de seguimiento que filtran el tráfico y redirigen solo a usuarios desde teléfonos móviles hacia páginas fraudulentas que calcan la tienda oficial de Google.
Lo más peligroso de RemControl aparece nada más pulsar en instalar. Para sortear el antivirus integrado de Android, el instalador levanta un servicio local de VPN cuyo único fin es cortar la comunicación de los servicios de Google Play. Al bloquear ese tráfico, neutraliza las comprobaciones de Google Play Protect, dejando al teléfono vulnerable antes de que salte la alarma de software malicioso.
Los atacantes también han blindado el virus para impedir su eliminación manual. Si la víctima sospecha y entra en los ajustes para revisar aplicaciones, revocar accesibilidad o restablecer de fábrica, RemControl detecta la ventana abierta y fuerza la salida inmediata a la pantalla de inicio.
Los rastros en el código apuntan a un operador bajo el alias UNKK con vínculos hacia el troyano Medusa, sumando líneas en ruso dentro de los archivos de diseño de las pantallas falsas.
Todo lo que puede hacer este virus
Los analistas descubrieron que una pantalla de inicio de sesión, y que funcionaba como un engaño, contenía fragmentos de texto olvidados pertenecientes a la respuesta de un asistente de IA, confirmando que recurrieron a modelos generativos para programar el código.
Una vez dentro, la aplicación solicita la activación de los Servicios de Accesibilidad de Android. Si el usuario concede este permiso, el troyano toma el control del teléfono de las siguientes formas:
- Superpone ventanas de inicio de sesión falsas: al abrir la app bancaria habitual, el virus proyecta una pantalla idéntica por encima para capturar usuario, contraseña, PIN de operaciones y datos de tarjetas físicas.
- Copia el patrón de pantalla en cualquier marca: captura las contraseñas de desbloqueo en modelos de Samsung, Xiaomi, Huawei, OPPO o OnePlus, y retransmite capturas de pantalla al servidor de control en tiempo real.
- Control a distancia: los atacantes pueden simular pulsaciones, deslizamientos y teclear de forma remota para mover el dinero.
Cómo protegerte de este tipo de ataques
Para evitar que este o cualquier troyano comprometa tu dinero, mantén unas precauciones básicas en tu día a día con el móvil:
- No descargues aplicaciones desde enlaces de anuncios: cualquier descarga que llegue desde publicidad en redes sociales o que invite a bajar un archivo APK externo encierra un riesgo altísimo si desconoces su origen.
- Desconfía de permisos de accesibilidad innecesarios: jamás concedas accesibilidad a reproductores multimedia, juegos o aplicaciones de televisión, ya que ninguna herramienta de este tipo los necesita.
- Revisa el estado de Play Protect: comprueba periódicamente en los ajustes de seguridad de Google Play que el escaneo automático del teléfono sigue activo.