Investigadores de ciberseguridad han revelado detalles de un nuevo troyano bancario para Android llamado ‘Herodotus’. Este malware ha sido detectado en campañas activas dirigidas a Italia y Brasil, diseñado para tomar el control de dispositivos (DTO) y evadir la detección biométrica imitando el comportamiento humano.
ThreatFabric informó que ‘Herodotus’ fue anunciado en foros clandestinos el 7 de septiembre de 2025, como parte de un modelo de malware como servicio (MaaS), y es compatible con dispositivos que ejecutan Android versiones 9 a 16. Aunque no es una evolución directa de ‘Brokewell’, comparte similitudes en la técnica de ofuscación y hace menciones directas a este malware.
‘Herodotus’ abusa de los servicios de accesibilidad de Android para interactuar con la pantalla, superponer pantallas opacas para ocultar actividades maliciosas y robar credenciales mostrando pantallas de inicio de sesión falsas sobre aplicaciones financieras. Además, puede robar códigos 2FA enviados por SMS, interceptar el contenido de la pantalla, obtener permisos adicionales, capturar el PIN o patrón de desbloqueo e instalar archivos APK de forma remota.
Lo que distingue a ‘Herodotus’ es su capacidad para ‘humanizar’ el fraude, introduciendo retrasos aleatorios al escribir texto, simulando la velocidad de escritura de un usuario real. Los retrasos varían entre 300 y 3000 milisegundos (0,3 – 3 segundos), intentando evitar la detección por soluciones antifraude basadas en la velocidad de entrada de texto.
ThreatFabric también descubrió páginas de superposición utilizadas por ‘Herodotus’ dirigidas a organizaciones financieras en EE. UU., Turquía, Reino Unido y Polonia, así como a billeteras e intercambios de criptomonedas, lo que indica una expansión de objetivos.
Paralelamente, se ha detectado otro malware Android llamado ‘GhostGrab’ en India, que roba credenciales bancarias y mina Monero. Este malware solicita permisos para instalar APKs adicionales fuera de Google Play Store y roba información personal, incluyendo datos de tarjetas y números de identificación.
Google informa que Google Play Protect protege automáticamente a los usuarios de Android contra versiones conocidas de este malware, advirtiendo o bloqueando aplicaciones con comportamiento malicioso, incluso si provienen de fuentes externas a Play.
Fuente original: Ver aquí