Los hackers utilizan una versión falsa de Google Play para minar criptomonedas y robar fondos

Traders Union
Todas las noticias
Criptomonedas
Los hackers utilizan Google Play falso

Todas las noticias

Noticias destacadas

Selecciones del editor

Criptomonedas

Noticias financieras

Divisas

Voces del mercado

Reguladores

Bancos centrales

Sergey Shendetskyi

22.03.2026

Los hackers utilizan una versión falsa de Google Play para minar criptomonedas y robar fondos — Aplicaciones falsas para usuarios de Android

Se ha detectado en Brasil una nueva campaña maliciosa dirigida a usuarios de Android. Los atacantes disfrazan páginas de phishing como la tienda oficial Google Play Store y distribuyen aplicaciones que, una vez instaladas, se utilizan para la minería encubierta de criptomonedas y el robo de fondos.

Este artículo ha sido traducido del original. Lea la versión original de nuestro corresponsal aquí.

Según Cryptopolitan, el ataque combina ingeniería social con métodos técnicamente sofisticados, lo que lo hace difícil de detectar incluso para usuarios experimentados.

Cómo funciona el ataque

Como señala SecureList, la campaña comienza con un sitio de phishing que imita la interfaz de Google Play. Se pide a los usuarios que descarguen una aplicación llamada INSS Reembolso, supuestamente vinculada al sistema de seguridad social de Brasil.

Una vez instalado, el malware se despliega por etapas: primero descarga los componentes cifrados y luego ejecuta la carga principal directamente en la memoria del dispositivo. Este método no deja archivos visibles, manteniendo la actividad oculta al usuario.

El malware también comprueba si se está ejecutando en un entorno emulado y se apaga si se detecta el análisis. Una vez que el dispositivo se considera "seguro", carga módulos adicionales, incluido un minero basado en XMRig adaptado para dispositivos ARM. Esto conecta el smartphone a la infraestructura controlada por el atacante y mina criptomoneda en segundo plano.

Para pasar desapercibido, el programa vigila las condiciones del dispositivo, como el nivel de batería, la temperatura y la actividad del usuario, activando el minado sólo en condiciones adecuadas. También elude las restricciones de Android reproduciendo un archivo de audio casi inaudible para simular la actividad de la aplicación.

Robo y acceso remoto

Las capacidades del malware van más allá de la minería. En algunos casos, instala un troyano bancario dirigido a los usuarios de Binance y Trust Wallet, especialmente durante las transacciones de USDT.

El malware superpone interfaces falsas sobre aplicaciones legítimas y sustituye silenciosamente las direcciones de los monederos. Como resultado, los fondos se redirigen sin que el usuario se dé cuenta.

Además, los dispositivos infectados pueden utilizarse para grabar audio, capturar pantallas, enviar mensajes SMS y registrar la actividad del usuario. El mando y el control se gestionan a través de Firebase Cloud Messaging -un servicio legítimo de Google-, lo que dificulta su detección.

Algunas variantes también despliegan BTMOB, una herramienta de acceso remoto distribuida bajo un modelo de malware como servicio. Proporciona a los atacantes el control total del dispositivo, incluido el acceso a la cámara, el GPS y las credenciales.

Por qué es importante para el mercado

El caso de Brasil pone de relieve cómo están evolucionando las amenazas en el sector de las criptomonedas. Mientras que antes los riesgos estaban relacionados sobre todo con exploits de protocolo, ahora los atacantes se dirigen cada vez más a los usuarios a través de phishing, interfaces falsas e ingeniería social.

Estos sistemas se están generalizando. Las herramientas MaaS como BTMOB reducen la barrera de entrada, acelerando la propagación de los ataques. En consecuencia, ni siquiera el uso de plataformas de confianza garantiza la seguridad.

Para las empresas, esto significa invertir no sólo en la seguridad de la infraestructura, sino también en la protección de las interacciones de los usuarios, desde las advertencias hasta el control de los dominios falsos. Binance y Google ya están ampliando estos esfuerzos, pero los atacantes siguen adaptándose con rapidez.

Para los usuarios, la lección está clara: es fundamental verificar las fuentes y evitar enlaces de terceros. A medida que crece el phishing, la vigilancia se convierte en la principal línea de defensa.

Al mismo tiempo, los riesgos se extienden a todos los ecosistemas. Recientemente, Google identificó vulnerabilidades en iOS dirigidas a las frases semilla de los monederos criptográficos. Los investigadores del Grupo de Inteligencia de Amenazas de Google descubrieron un conjunto de herramientas llamado Coruna, diseñado para comprometer iPhones con versiones de iOS desde la 13.0 hasta la 17.2.1. Esto confirma que los ataques se están convirtiendo en interplataformas. Esto confirma que los ataques se están volviendo multiplataforma y afectan a los usuarios independientemente del sistema que utilicen.

Este material puede contener opiniones de terceros, ninguno de los datos e información en esta página web constituye asesoramiento de inversión según nuestro Aviso Legal. Aunque nos adherimos a una estricta Integridad Editorial, esta publicación puede contener referencias a productos de nuestros socios.

¿Te gustó el artículo?