Doctor Web: informe de la actividad de virus en el III trimestre del año 2026

1 de octubre de 2026

Según las estadísticas de detecciones del antivirus Dr.Web, en el tercer trimestre de 2026 los usuarios afrontaron amenazas un 14,86 % menos que en el segundo trimestre. El número de archivos únicos utilizados en los ataques disminuyó un 49,26 %. Al mismo tiempo, en comparación con el periodo de observación anterior, entre las amenazas detectadas se registró un 63,39 % menos de archivos únicos. En los dispositivos protegidos, las detecciones más frecuentes correspondieron a programas publicitarios y troyanos publicitarios, malware que roba contraseñas y otra información confidencial, así como droppers y descargadores que instalan distintas amenazas en el sistema objetivo. Además, siguieron mostrando actividad los troyanos utilizados para iniciar automáticamente otras aplicaciones maliciosas.

El número de solicitudes de descifrado recibidas por el Servicio de Soporte Técnico de Doctor Web aumentó un 5,85 % con respecto al segundo trimestre. Las solicitudes estuvieron relacionadas principalmente con los encoders Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.44474.

En el tráfico de correo electrónico, las detecciones más frecuentes correspondieron a scripts maliciosos, la mayoría de los cuales eran descargadores y droppers que instalaban otras amenazas en el sistema atacado. Además, a través del correo electrónico se distribuyeron documentos de phishing, exploits y diversas aplicaciones troyanas. Entre estas últimas, al igual que en el caso de los scripts maliciosos, la mayor actividad correspondió a droppers y descargadores.

En el tercer trimestre, los analistas de Internet de Doctor Web continuaron observando un creciente interés de los estafadores por los usuarios de la aplicación de mensajería rusa MAX. Nuestros especialistas detectaron numerosos sitios web de phishing nuevos creados con el objetivo de robar cuentas de esta plataforma. Al mismo tiempo, los ciberdelincuentes siguieron interesados en obtener acceso a cuentas de otras aplicaciones de mensajería, como Telegram. Los usuarios también afrontaron otros sitios web de phishing, entre ellos nuevos recursos web bancarios falsos.

En julio, el laboratorio antivirus de Doctor Web alertó sobre un troyano que ataca a desarrolladores de software. Este infecta proyectos escritos en los lenguajes de programación C++ y C#, de modo que las aplicaciones compiladas también quedan infectadas y contribuyen a seguir propagando la amenaza. Además, si los proyectos infectados se publican y quedan disponibles para su descarga, otros desarrolladores que los descarguen y utilicen también comprometen sus sistemas y todos los programas que crean. Este troyano incorpora varias funciones maliciosas a la vez: actúa como ladrón de datos, minero de criptomonedas y puerta trasera, además de como clipper que roba información del portapapeles.

Durante los últimos tres meses, los usuarios de Android afrontaron con mayor frecuencia el malware Android.Proxy, que permite redirigir el tráfico de los ciberdelincuentes a través de los dispositivos infectados. Además, se observó un aumento de la actividad de los troyanos bancarios Android.Banker. Entre los líderes por número de detecciones siguen figurando programas para Android modificados mediante herramientas de hacking. Los creadores de virus los utilizan para proteger el malware frente a la detección y el análisis.

Durante el tercer trimestre, los analistas de virus de Doctor Web detectaron decenas de troyanos en el catálogo de Google Play. Entre ellos había numerosos troyanos Android.Joker, que suscriben a las víctimas a servicios de pago. Asimismo, nuestros expertos descubrieron que algunas nuevas modificaciones de este malware incorporan una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy.

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares en el III trimestre del año 2026

Adware.Downware.20091

Adware que actúa como instalador intermediario de software pirata.

Trojan.Siggen31.34463

Un troyano escrito en el lenguaje de programación Go y diseñado para descargar distintos mineros y adware en el sistema objetivo. El malware es un archivo DLL y se encuentra en %appdata%\utorrent\lib.dll. Para ejecutarse, explota una vulnerabilidad de tipo DLL Search Order Hijacking en el cliente de torrents uTorrent.

Trojan.PWS.Salat.390

Un programa toyano que roba contraseñas de distintos servicios, así como otra información confidencial.

Adware.Ubar.20

Un cliente de torrents que instala software no deseado en el dispositivo.

Adware.Proxy.32

Un programa que convierte el ordenador objetivo en un nodo de salida de una red proxy y permite redirigir tráfico de terceros a través del dispositivo.

Estadísticas de malware en el tráfico de correo

Las amenazas más populares del III trimestre del año 2026 en el tráfico de correo

X97M.DownLoader.2343

Un archivo XLSX (formato de hoja de cálculo de Microsoft Excel) con un objeto OLE que descarga un archivo malicioso en el ordenador atacado.

W97M.DownLoader.2938

Una familia de troyanos descargadores que explotan vulnerabilidades de documentos de Microsoft Office. Están diseñados para descargar otro malware en el ordenador atacado.

JS.DownLoader.9376

Un script malicioso en formato JavaScript que descarga otro malware en el sistema objetivo.

VBS.Starter.541

Un script malicioso en formato Visual Basic Script. Está diseñado para ejecutar distintas aplicaciones maliciosas en los ordenadores objetivo.

JS.Muldrop.1417

Un script malicioso en formato JavaScript que ejecuta en el sistema objetivo el malware oculto en su interior.

Cifradores

En comparación con el segundo trimestre, el número de solicitudes de descifrado de archivos afectados por troyanos ransomware aumentó un 5,82 %.

Dinámica de las solicitudes de descifrado recibidas por el Servicio de Soporte Técnico de Doctor Web:

Las solicitudes de los usuarios estuvieron relacionadas con mayor frecuencia con la actividad de los siguientes encoders:

• Trojan.Encoder.35534 — 13,98% de solicitudes
• Trojan.Encoder.41868 — 3,76% de solicitudes
• Trojan.Encoder.44474 — 3,23% de solicitudes
• Trojan.Encoder.30356 — 2,69% de solicitudes
• Trojan.Encoder.44383 — 2,15% de solicitudes

Fraudulencias en la red

En el tercer trimestre de 2026 continuó aumentando el interés de los estafadores por los usuarios de la aplicación de mensajería rusa MAX, una tendencia que los analistas de Internet de Doctor Web ya habían observado en el trimestre anterior. Durante los últimos tres meses, nuestros expertos detectaron un amplio grupo de sitios web no deseados con un diseño similar, creados por los ciberdelincuentes para robar cuentas de la aplicación de mensajería. En estos sitios, las víctimas potenciales supuestamente podían acceder a varios servicios y prestaciones. Para ello, bajo distintos pretextos, se les solicitaba su número de teléfono móvil y el código de verificación que recibían en él. En algunos casos, se indicaba directamente a los usuarios que, para obtener lo que deseaban, debían iniciar sesión en su cuenta de MAX. En otros, ni siquiera se mencionaba la autorización y supuestamente el número de teléfono y el código de confirmación solo eran necesarios para comprobar que los visitantes no eran bots. Sin embargo, independientemente del motivo alegado, si los usuarios caían en el engaño y facilitaban los datos correspondientes, el resultado era el mismo: los estafadores obtenían acceso a sus cuentas. Además, en estos sitios eran frecuentes los errores ortográficos, de gramática y de puntuación.

Uno de los pretextos utilizados por los atacantes fue la reanudación de la actividad de la plataforma de juegos Roblox en Rusia a principios del verano. Esta plataforma es popular entre niños y adolescentes, un público tradicionalmente más vulnerable a las ciberamenazas y, por tanto, un objetivo atractivo para los ciberdelincuentes.

En uno de los escenarios, se ofrecían a las víctimas potenciales monedas Robux gratis como regalo «con motivo del desbloqueo» de Roblox. Se trata de la moneda digital utilizada dentro del juego. Dependiendo del sitio, los estafadores prometían entre 1.000 y 30.000 monedas:

Para «obtenerlas», los usuarios debían pulsar el botón correspondiente (por ejemplo, «Recoger» u «Obtener»), indicar su número de teléfono para la «confirmación» y, a continuación, introducir el código de verificación recibido por SMS o directamente en la aplicación de mensajería MAX:

En otras variantes, se ofrecían a los visitantes distintos scripts y trucos para Roblox, objetos raros del juego, así como juegos de tipo clicker (del inglés tap, «tocar»): sencillos juegos de clics y aplicaciones en los que, mediante pulsaciones en la pantalla, se acumulan recursos virtuales (puntos, bonificaciones o monedas) que posteriormente supuestamente pueden transferirse a uno u otro juego. Para «acceder» a ellos, las víctimas potenciales debían, de forma similar, pulsar el botón correspondiente («Descargar», «Confirmar», etc.) y facilitar su número de teléfono para la «confirmación»::

Los ciberdelincuentes también explotaron la imagen de otro juego popular entre el público joven: Brawl Stars. Al igual que en el caso de Roblox, en los sitios web fraudulentos se ofrecían a las víctimas potenciales objetos y bonificaciones gratuitos para el juego. Supuestamente, los usuarios de MAX podían obtenerlos escaneando un código QR especial:

Para «obtener» el código QR correspondiente, debían «pasar una verificación a través de MAX», para lo cual tenían que indicar su número de teléfono móvil y el código recibido por SMS o en la aplicación de mensajería:

Además, en algunos de estos sitios de phishing, los ciberdelincuentes prometían distintos regalos supuestamente en nombre tanto del propio juego como de sus desarrolladores, por ejemplo, cajas de recompensas gratuitas:

Los estafadores prometen regalos de Brawl Stars y SUPERCELL, como cajas gratuitas con objetos del juego (por ejemplo, cajas del personaje Bolt). Se pide a los usuarios que pulsen el botón de confirmación e indiquen su número de teléfono móvil y el código de verificación

Además de ofrecer distintos bonos y regalos para juegos populares, los ciberdelincuentes intentaron atraer a las víctimas potenciales con otras ofertas. Entre ellas figuraban supuestos servicios de promoción en redes sociales, por ejemplo, en Likee. Los estafadores prometían «aumentar» el número de seguidores, «me gusta» y comentarios, pero para ello los usuarios supuestamente debían iniciar sesión a través de la aplicación de mensajería MAX:

Un sitio de phishing promete promoción en la red Likee, pero para ello supuestamente es necesario iniciar sesión a través de la aplicación de mensajería MAX

Algunos de estos sitios ofrecían a los visitantes instalar mods especializados (versiones modificadas) de MAX que, según se afirmaba, permitían fijar canciones en el perfil de la aplicación de mensajería. Para «obtener» uno de estos mods, los usuarios debían iniciar sesión con su número de teléfono móvil y acceder a su cuenta personal. Cabe señalar que actualmente la versión oficial de MAX no permite añadir música al perfil, aunque esta función sí está disponible en otros servicios de la competencia. Los estafadores confían en que las víctimas potenciales, atraídas por esta funcionalidad, bajen la guardia y caigan en el engaño.

Un sitio web fraudulento ofrece la «posibilidad de añadir canciones al perfil de MAX»

En otro escenario, se ofrecía a los usuarios acceso al registro escolar electrónico para consultar las calificaciones escolares:

Otros sitios supuestamente permitían utilizar la versión web de la aplicación de mensajería MAX y ofrecían iniciar sesión con el número de teléfono para «acceder al perfil»:

Algunos de estos recursos web fraudulentos prometían ayudar a averiguar con qué nombre tenía guardada a la víctima potencial en su lista de contactos el resto de usuarios. Para ello, se pedía a los visitantes que «confirmaran su identidad» iniciando sesión en MAX:

Algunos sitios prometían acceso gratuito a contenidos privados de blogueros y creadores de contenido para adultos, incluida la posibilidad de consultar archivos multimedia «filtrados» y obtener una suscripción de prueba a servicios especializados. Los estafadores justificaban la necesidad de iniciar sesión a través de la aplicación de mensajería MAX e introducir el código de confirmación, entre otras razones, por la necesidad de «protegerse frente a bots y bloqueo»:

Al mismo tiempo, en el marco de esta campaña, no solo los usuarios de MAX se convirtieron en objetivo de los ciberdelincuentes, sino también los de otras aplicaciones de mensajería como Telegram. Así, por ejemplo, algunos de los sitios detectados imitaban un chat con la cuenta oficial de la aplicación de mensajería y, supuestamente en nombre de la plataforma, ofrecían a las víctimas potenciales un regalo: una suscripción a Telegram Premium:

Para «obtenerla», los usuarios debían iniciar sesión en su cuenta indicando su número de teléfono móvil y el código de verificación de un solo uso recibido en él:

En un escenario similar, los ciberdelincuentes prometían a las víctimas potenciales la posibilidad de obtener gratis regalos virtuales del ecosistema de Telegram de distintas colecciones, como Toy Bear (oso de peluche), Snoop Dogg y otras. Para ello, los estafadores pedían a los usuarios que «pasaran una verificación» (por ejemplo, para comprobar que no eran robots y que cada visitante supuestamente recibiera el regalo una sola vez), indicando su número de teléfono móvil y el código de confirmación. Es posible que estas variantes de sitios fraudulentos, al igual que en el caso de los relacionados con juegos, estuvieran dirigidas principalmente a niños y adolescentes:

Los ciberdelincuentes también intentaron atraer a las víctimas potenciales con la posibilidad de obtener estrellas de Telegram (la moneda digital interna de la aplicación de mensajería) por «suscribirse» a determinados canales. En este caso, se volvía a pedir a los usuarios que iniciaran sesión en su cuenta de Telegram y facilitaran el código de verificación:

En el tercer trimestre de 2026, los expertos de Doctor Web observaron una evolución de las técnicas fraudulentas destinadas a robar datos personales y cuentas de distintos servicios. Uno de los escenarios habituales en el arsenal de los estafadores sigue siendo informar a los usuarios de una supuesta vulneración de sus cuentas. Por lo general, los ciberdelincuentes comunican directamente a las víctimas potenciales que se ha producido una «filtración» de datos y que deben tomar medidas urgentes para proteger la información confidencial (por ejemplo, acceder al enlace indicado, llamar al «servicio de soporte», etc.). Sin embargo, en varios casos detectados por nuestros analistas de Internet, en los sitios de phishing se asustaba deliberadamente a los usuarios con un supuesto ataque que se iba revelando de forma gradual. Paso a paso, se hace que el usuario se ponga cada vez más nervioso hasta que finalmente baje la guardia y realice las acciones que necesitan los ciberdelincuentes. Entre los sitios que empleaban este tipo de engaño se encontraban, por ejemplo, nuevas imitaciones de los portales web de proveedores de suministros.

Un sitio de phishing, camuflado como el recurso web oficial de una compañía eléctrica rusa, ofrece iniciar sesión en una cuenta

Después de que la víctima potencial, creyendo que se encuentra en el sitio web auténtico, introduce sus datos de acceso a la cuenta, el recurso fraudulento simula el proceso de inicio de sesión a través del portal ruso de servicios públicos «Gosuslugi» y la «sincronización» con las bases de datos de distintos organismos públicos:

El sitio simula el inicio de sesión a través de «Gosuslugi» y la sincronización con «bases de datos de organismos públicos»

A continuación, sin embargo, el sitio informa de que la cuenta de «Gosuslugi» del usuario ha sido hackeada. Para dar mayor credibilidad al engaño, muestra información sobre un dispositivo desde el que supuestamente se inició sesión en «Gosuslugi» e indica una ubicación geográfica lejana desde la que «se produjo» la conexión no autorizada. El sitio también advierte de que, si estas acciones no fueron realizadas por el propio usuario, su cuenta será bloqueada. Para «cancelar la sincronización» del dispositivo ajeno y evitar la filtración de información personal, se «exige a la víctima potencial que se ponga inmediatamente en contacto con un operador»:

Para «cancelar» la vinculación de un dispositivo ajeno a la cuenta de «Gosuslugi» y supuestamente proteger los datos personales, incluida la información del pasaporte, el SNILS (número individual de la cuenta de la Seguridad Social rusa) y el NIF, se pide al usuario que se ponga en contacto con un «operador»

Una vez que el usuario pulsa el botón para «solicitar una llamada», el sitio intenta ganar tiempo mostrando una cuenta atrás de uno o varios minutos y un mensaje que indica que la solicitud se está procesando:

El sitio informa de que la solicitud se está procesando y de que el «operador de guardia» se pondrá en contacto con el usuario dentro del plazo indicado

Cuando finaliza la cuenta atrás, no ocurre nada que pueda ayudar a aclarar la situación. En su lugar, en la página web fraudulenta aparecen botones para volver a realizar la «solicitud» y para ponerse directamente en contacto con el «operador de guardia»:

El sitio ofrece volver a solicitar la llamada de un experto o llamar directamente al «operador de guardia»

Al pulsar el primer botón, vuelve a aparecer el temporizador de «espera de la solicitud» y el proceso se repite. Al pulsar el segundo, se muestran números de teléfono de una «línea de soporte exclusiva» que, en realidad, pertenecen a los estafadores. El objetivo de este esquema es que, tras verse obligada a esperar, la víctima potencial se ponga aún más nerviosa y sea más propensa a llamar a uno de los números indicados por temor a una posible filtración de sus datos personales y a perder el acceso a «Gosuslugi». Además, los ciberdelincuentes matan dos pájaros de un tiro, ya que también roban directamente los datos necesarios para acceder al área personal del usuario en el sitio web del proveedor de suministros.

Para acelerar la solución del «problema», se facilitan a la víctima potencial los números de teléfono de una «línea de soporte exclusiva»

Durante los últimos tres meses, los analistas de Internet de Doctor Web continuaron detectando nuevos sitios web fraudulentos que prometían distintos pagos y prestaciones. Algunos de ellos eran presentados por los ciberdelincuentes como el sitio web oficial de la plataforma estatal rusa «Trabajo en Rusia» (trudvsem.ru), donde se publican ofertas de empleo y currículos y que facilita la búsqueda de empleo. Los recursos web falsos informaban de que los ciudadanos que se habían registrado anteriormente en el portal oficial supuestamente podían recibir un pago adicional del Centro de Empleo. En algunos casos, el importe prometido podía alcanzar varias decenas de miles de rublos.

Para «recibir» el dinero, se ofrecía a los usuarios solicitar una tarjeta bancaria específica del sistema de pago «MIR», en la que supuestamente se abonaría posteriormente la «prestación». Después, también debían activarla realizando alguna compra. Para solicitar la tarjeta, los sitios fraudulentos proporcionaban un formulario en el que debían introducir sus datos personales: nombre, apellido y patronímico, número de teléfono y dirección de correo electrónico:

Un sitio falso de la plataforma «Trabajo en Rusia» promete un «pago adicional del Centro de Empleo» a condición de solicitar una nueva tarjeta bancaria

Una vez rellenado el formulario y pulsado el botón «Solicitar tarjeta MIR», los visitantes eran redirigidos al sitio web legítimo de uno de los bancos, donde efectivamente podían solicitar la emisión de una nueva tarjeta. Sin embargo, estas solicitudes no tenían en realidad ninguna relación con la prestación prometida por los estafadores. Mediante engaños, los ciberdelincuentes inducían a las víctimas potenciales a solicitar tarjetas bancarias para recibir, en el marco de programas de afiliación con entidades de crédito, una remuneración por cada cliente captado con éxito. Al final, los usuarios no recibían ningún pago del Centro de Empleo. Además, los ciberdelincuentes podían utilizar posteriormente los datos personales recopilados a través de los sitios falsos de la plataforma «Trabajo en Rusia» en otros esquemas fraudulentos o venderlos en el mercado negro.

Los datos confidenciales de acceso a cuentas de banca online, incluidos nombres de usuario, contraseñas y datos de tarjetas, siguen siendo un objetivo codiciado por los ciberdelincuentes. En el tercer trimestre, nuestros expertos detectaron nuevos sitios de phishing creados para robar esta información. Algunos de ellos imitaban el portal web de una entidad de crédito rusa y prometían regalos en el marco de una «gran promoción con motivo del aniversario» de la entidad. Supuestamente, los usuarios podían recibir un bono garantizado, desde 5.000 rublos hasta duplicar todos los fondos de su cuenta:

Un sitio bancario falso promete regalos con motivo del aniversario de la entidad de crédito

Se invitaba a la víctima potencial a responder a una breve encuesta. Después de contestar a las preguntas, supuestamente podía acceder a un «premio garantizado»:

El sitio de phishing agradece al usuario sus respuestas e informa de que su cuenta está «lista para participar en la promoción». Para «conocer el premio garantizado», se invita a la víctima potencial a pulsar el botón «Recibir recompensa» (en la captura de pantalla se puede observar que los estafadores cometieron una errata)

Una vez pulsado por el usuario el botón para «recibir» la recompensa, el sitio mostraba un formulario para introducir el nombre y los apellidos, el número de teléfono móvil y el número de la tarjeta bancaria:

El sitio informa de que el usuario supuestamente ha recibido como regalo la duplicación de los fondos de su cuenta y que, para «recibir» el dinero, debe introducir determinados datos personales

Una vez introducidos los datos, el sitio solicitaba un código de verificación recibido por SMS, supuestamente necesario «para abonar los fondos en la cuenta». En realidad, se trataba del código de confirmación de acceso a la banca online de la víctima, a la que los estafadores intentaban acceder utilizando los datos obtenidos en el paso anterior. Si la víctima introducía este código, los ciberdelincuentes obtenían acceso a sus cuentas bancarias y tarjetas y podían robarle el dinero.

Se pide al usuario que introduzca el código de verificación recibido por SMS «para abonar los fondos en la cuenta»

Las plataformas falsas de comunicación y citas online, mediante las cuales los ciberdelincuentes intentan hacerse con los datos personales y el dinero de los usuarios, siguen siendo una amenaza vigente. Durante el tercer trimestre, los analistas de Internet de Doctor Web detectaron numerosos sitios de este tipo. En uno de los esquemas más habituales, los estafadores engañan a las víctimas potenciales para que paguen una suscripción premium que supuestamente activa la cuenta y permite acceder a todas las funciones del servicio, incluida la posibilidad de enviar mensajes. Además, el pago exigido no es único: para «acceder» a los chats es obligatorio aceptar la renovación automática del servicio. Al conseguir que los usuarios acepten un pago periódico, los ciberdelincuentes confían en que las víctimas olviden que tienen activada la suscripción o que, por una razón u otra, no puedan cancelarla.

En el marco de este esquema fraudulento, las víctimas potenciales pueden llegar, a través de una cadena de redirecciones web (por ejemplo, al visitar otros recursos de Internet), a sitios intermediarios que anuncian determinados servicios de citas online. Se invita a los visitantes a responder a una encuesta para determinar su «compatibilidad» con posibles parejas y, a continuación, se les muestra un formulario de registro. En él se solicitan un nombre de usuario, una contraseña y una dirección de correo electrónico. Después, se les redirige directamente al sitio de la «plataforma» de citas online.

Un sitio perteneciente a la cadena fraudulenta «comprueba» la compatibilidad de la víctima potencial con otros usuarios

Casi de inmediato, los usuarios comienzan a recibir mensajes de participantes «interesados» que, en realidad, están programados y no proceden de personas reales. Sin embargo, no es posible responder a estos mensajes: para «continuar la conversación», el sitio ofrece activar la cuenta pagando el acceso premium y aceptando la renovación automática de la suscripción cada 30 días:

Al pagar la «suscripción premium», estos sitios web pueden mostrar un formulario no seguro para introducir los datos de la tarjeta bancaria: su número, fecha de caducidad e incluso el código de seguridad de tres dígitos. El formulario no está vinculado a pasarelas de pago seguras, por lo que los usuarios corren el riesgo no solo de suscribirse a un servicio costoso, sino también de perder todo el dinero de la tarjeta al facilitar sus datos a una parte desconocida.

Los datos de la tarjeta bancaria se solicitan a través de un formulario de entrada no seguro

Si los usuarios intentan cancelar la suscripción o recuperar el dinero abonado anteriormente, los sitios vuelven a solicitar los datos de la tarjeta bancaria (por ejemplo, piden indicar su fecha de caducidad y parte del número). Esto también se realiza fuera del entorno de pasarelas de pago seguras, lo que genera riesgos adicionales de filtración de datos confidenciales y robo de fondos.

Al solicitar la cancelación de la suscripción de pago, el sitio pide indicar los primeros 6 dígitos y los últimos 4 dígitos del número de la tarjeta bancaria, así como su fecha de caducidad

Malware y software no deseado para dispositivos móviles

Según las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el tercer trimestre de 2026 el malware más activo fueron los troyanos Android.Proxy, mediante los cuales se redirige el tráfico de red de los ciberdelincuentes a través de los dispositivos de las víctimas. Los usuarios afrontaron con mayor frecuencia las modificaciones Android.Proxy.60.origin y Android.Proxy.61.origin que en conjunto representaron casi una cuarta parte de las detecciones de malware. En comparación con el segundo trimestre, aumentó el número de ataques de troyanos bancarios Android.Banker. Al mismo tiempo, continuó la tendencia a la baja de la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.

Los falsos antivirus Program.FakeAntiVirus, que ofrecen comprar la versión completa para eliminar amenazas supuestamente detectadas, volvieron a ser el software no deseado más extendido. Entre el adware, las aplicaciones más frecuentes fueron las que incorporaban los módulos Adware.AdPush y Adware.Airpush, que muestran notificaciones publicitarias, así como los programas Adware.Opensite.15. Estos últimos se distribuyen bajo la apariencia de software con trucos para juegos, pero su única función consiste en cargar sitios web con anuncios.

Las aplicaciones a las que se añade código basura mediante la herramienta de hacking para modding NP Manager (detectadas como Tool.Obfuscator.TrashCode) siguieron siendo el software potencialmente peligroso más frecuente. Los creadores de virus continúan utilizando este tipo de modificación para proteger el malware, en particular los troyanos bancarios, frente a la detección por parte de los antivirus. También siguen estando muy extendidos otros mods creados con NP Manager y detectados por Dr.Web como Tool.NPMod. Por ejemplo, pueden utilizar técnicas de ofuscación de código, también para protegerse frente a la detección y el análisis. Entre el software potencialmente peligroso detectado con mayor frecuencia en el tercer trimestre también se encontraban programas modificados mediante la utilidad Tool.LuckyPatcher. Esta herramienta descarga de Internet scripts que pueden ser potencialmente maliciosos.

Durante los últimos tres meses, los analistas de virus de Doctor Web detectaron en el catálogo de Google Play más de 50 aplicaciones maliciosas. Entre ellas había decenas de troyanos Android.Joker, que suscriben a las víctimas a servicios de pago. Nuestros expertos descubrieron que algunas nuevas versiones del malware de esta familia incorporan una nueva funcionalidad que les permite utilizar los dispositivos infectados como nodos de salida de una botnet proxy para redirigir el tráfico de Internet de los atacantes. En Google Play también se distribuyeron nuevos troyanos Android.FakeApp, utilizados por los ciberdelincuentes en distintos esquemas fraudulentos.

Los eventos más destacados relacionados a la seguridad “móvil” en el tercer trimestre

• Se observó una elevada actividad de los troyanos Android.Proxy, que permiten redirigir el tráfico de red de los ciberdelincuentes a través de los dispositivos infectados.
• Aumentó el número de ataques de los troyanos bancarios Android.Banker.
• Continuó disminuyendo la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.
• Los creadores de virus añadieron al malware Android.Joker una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy.
• A través del catálogo de Google Play volvió a propagarse malware.

Para más información sobre los eventos de virus para dispositivos móviles en el tercer trimestre del año 2026, consulte nuestro informe.