Un nuevo troyano bancario para Android, denominado ‘Klopatra’, ha puesto en riesgo a más de 3,000 dispositivos, concentrando la mayor parte de las infecciones en España e Italia. Este malware sofisticado, descubierto por la firma italiana de prevención de fraude Cleafy, utiliza Hidden Virtual Network Computing (VNC) para el control remoto de los dispositivos infectados, además de superposiciones dinámicas para facilitar el robo de credenciales. Esto permite la ejecución de transacciones fraudulentas sin el conocimiento del usuario.

Según los investigadores de Cleafy, Federico Valentini, Alessandro Strino, Simone Mattia y Michele Roviello, ‘Klopatra representa una evolución significativa en la sofisticación del malware móvil’. Combina el uso extensivo de bibliotecas nativas con la integración de Virbox, un conjunto de herramientas de protección de código de grado comercial, lo que dificulta su detección y análisis.

Las evidencias sugieren que ‘Klopatra’ es operado por un grupo criminal de habla turca, que lo utiliza como una botnet privada. Se han descubierto hasta 40 versiones distintas desde marzo de 2025. Las cadenas de ataque emplean tácticas de ingeniería social para engañar a las víctimas y que descarguen aplicaciones dropper que se disfrazan de herramientas aparentemente inofensivas, como aplicaciones de IPTV. Una vez instalada, la aplicación dropper solicita permisos para instalar paquetes de fuentes desconocidas, para extraer e instalar el payload principal de ‘Klopatra’ desde un JSON Packer incrustado. El troyano bancario solicita permisos a los servicios de accesibilidad de Android para lograr sus objetivos.

El malware utiliza los servicios de accesibilidad para concederse permisos adicionales, evitando así su terminación, e intenta desinstalar cualquier aplicación antivirus preinstalada en el dispositivo. Además, puede lanzar pantallas de inicio de sesión falsas sobre aplicaciones financieras y de criptomonedas para robar credenciales. Estas superposiciones se entregan dinámicamente desde el servidor C2 cuando la víctima abre una de las aplicaciones objetivo.

Los operadores de ‘Klopatra’ realizan ataques durante la noche, aprovechando que la víctima está dormida y el dispositivo está cargando, lo que garantiza que permanezca encendido y conectado. Reducen el brillo de la pantalla a cero y muestran una superposición negra, dando la impresión de que el dispositivo está inactivo, mientras realizan transferencias bancarias fraudulentas en segundo plano.

Fuente original: Ver aquí