Doctor Web: informe de la actividad de virus para dispositivos móviles en el tercer trimestre del 2026

1 de octubre de 2026

Según las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el tercer trimestre de 2026 se observó un repunte de la actividad de los troyanos Android.Proxy, que permiten a los ciberdelincuentes redirigir el tráfico de red a través de los dispositivos de las víctimas y anonimizar su conexión a Internet. El aumento se debió principalmente a los troyanos Android.Proxy.60.origin y Android.Proxy.61.origin, que en conjunto representaron más del 22 % de todas las detecciones de malware. Estos añaden los dispositivos infectados a botnets proxy y convierten cada uno de ellos en un nodo de salida de la red proxy correspondiente.

En comparación con el segundo trimestre, el número de ataques de troyanos bancarios Android.Banker aumentó ligeramente, y este malware, con una cuota del 18,06 %, se situó en segundo lugar. Como anteriormente, los más activos fueron los representantes de la subfamilia Android.Banker.Mamont, capaces, entre otras cosas, de interceptar el contenido de los SMS y las notificaciones con el fin de robar códigos de confirmación de un solo uso para operaciones bancarias.

Al mismo tiempo, los usuarios afrontaron con menor frecuencia los troyanos publicitarios de las familias Android.MobiDash y Android.HiddenAds. El número de detecciones durante los últimos tres meses volvió a disminuir, un 30,96 % y un 14,36 %, respectivamente, y su cuota conjunta entre el malware detectado no supera actualmente el 10 %.

Entre el software potencialmente peligroso siguen liderando los programas a los que se añade, mediante la herramienta de hacking para modding NP Manager, código basura que dificulta la comprensión de la lógica de las aplicaciones. Los creadores de virus utilizan esta técnica para proteger el malware frente a los antivirus. Por ejemplo, se emplea activamente para proteger los troyanos bancarios Android.Banker.Mamont. En el tercer trimestre, estas modificaciones (detectadas como Tool.Obfuscator.TrashCode) representaron el 69,01 % de las detecciones de aplicaciones potencialmente peligrosas.

El segundo lugar volvió a corresponder a los programas modificados mediante otras funciones de NP Manager. Por ejemplo, los ciberdelincuentes pueden ofuscar el código de los troyanos para protegerlos frente a la detección y el análisis. La cuota de estos mods (detectados como Tool.NPMod) fue del 19,16 % del total de detecciones de software potencialmente peligroso. Completan los tres primeros puestos los programas modificados mediante la utilidad Tool.LuckyPatcher. Esta utilidad descarga de Internet scripts especialmente preparados que pueden representar un peligro potencial, ya que puede crearlos cualquier persona, incluidos los creadores de virus. Los programas modificados de este modo representaron el 5,77 % de las detecciones.

Las aplicaciones no deseadas más extendidas en el tercer trimestre siguieron siendo Program.FakeAntiVirus, programas que imitan el funcionamiento de los antivirus. Informan a los usuarios de que han detectado determinadas amenazas y, para «eliminar» la infección, ofrecen adquirir la versión completa. La cuota de este software sobre el total de detecciones de programas no deseados aumentó del 44,10 % al 51,09 % con respecto al periodo de observación anterior.

El adware más extendido fueron los módulos Adware.AdPush, que se integran en aplicaciones para Android. En el tercer trimestre representaron el 39,46 % de las detecciones de amenazas de este tipo. Estos módulos muestran notificaciones publicitarias que inducen a error a los usuarios. También recopilan determinados datos confidenciales.

Durante los últimos tres meses se observó un aumento de la actividad de los módulos publicitarios Adware.Airpush: su cuota aumentó del 7,39 % al 10,34 %. Entre ellos siguen destacando las modificaciones Adware.Airpush.7.origin. Los módulos de Adware.Airpush pueden mostrar notificaciones publicitarias, banners y ventanas emergentes, y los ciberdelincuentes también los utilizan para distribuir malware.

Los usuarios continuaron afrontando el adware Adware.Opensite.15, aunque su actividad disminuyó con respecto al segundo trimestre: su cuota cayó del 14,26 % al 7,90 %. Estas aplicaciones se distribuyen bajo la apariencia de programas con trucos para obtener distintos recursos en los juegos, pero se limitan a cargar sitios web con publicidad. También perdieron presencia las aplicaciones Adware.Bastion.1.origin, que habían figurado entre las más activas durante los últimos meses. Representaron el 5,73 % de las detecciones de adware. Estas aplicaciones generan notificaciones con mensajes engañosos que advierten de supuestos errores del sistema y de falta de memoria RAM. Durante la «optimización», muestran publicidad.

Durante el tercer trimestre, los expertos del laboratorio antivirus de Doctor Web detectaron en el catálogo de Google Play numerosas aplicaciones maliciosas nuevas, entre ellas decenas de troyanos Android.Joker, que suscriben a los usuarios a servicios móviles de pago. Al analizar estos troyanos, nuestros expertos descubrieron que los creadores de virus habían ampliado las funciones de esta familia. Algunas modificaciones de Android.Joker ahora pueden no solo realizar suscripciones, sino también convertir los dispositivos infectados en nodos de salida de una botnet proxy. En Google Play también se distribuyeron nuevas aplicaciones falsas de la familia Android.FakeApp, utilizadas en distintos esquemas fraudulentos.

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.Proxy.60.origin

Android.Proxy.61.origin

Malware que convierte los dispositivos infectados en nodos de salida de botnets proxy y permite a los ciberdelincuentes redirigir el tráfico de red a través de ellos.

Android.SpyMax.17

Spyware con una amplia variedad de funciones. Los ciberdelincuentes lo utilizan, entre otras cosas, como troyano bancario para interceptar SMS con códigos de verificación enviados por entidades de crédito.

Android.HiddenAds.4236

Un troyano diseñado para mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen distribuirse bajo la apariencia de aplicaciones inofensivas y, en algunos casos, son instalados en el directorio del sistema por otro malware. Una vez que llegan a los dispositivos Android, estos troyanos publicitarios suelen ocultar al usuario su presencia en el sistema; por ejemplo, «esconden» el icono de la aplicación del menú de la pantalla de inicio.

Android.Banker.Mamont.263.origin

Un troyano bancario que intercepta SMS con códigos de un solo uso enviados por entidades de crédito y el contenido de las notificaciones, además de recopilar otra información confidencial. Esta incluye datos técnicos sobre el dispositivo infectado, la lista de aplicaciones instaladas, información sobre la tarjeta SIM, las llamadas telefónicas y los SMS recibidos y enviados.

Program.FakeAntiVirus.1

Program.FakeAntiVirus.5.origin

Program.FakeAntiVirus.5

Detección de programas publicitarios que imitan el funcionamiento de software antivirus. Estas aplicaciones pueden inducir a error a los usuarios e informar de amenazas inexistentes o identificar erróneamente aplicaciones seguras como maliciosas. En algunos casos, para «eliminar» las amenazas supuestamente detectadas, pueden exigir la compra de la versión completa del software.

Program.FakeMoney.11

Detección de aplicaciones que supuestamente permiten ganar dinero realizando determinadas acciones o tareas. Estos programas simulan la obtención de recompensas y, para retirar el dinero «ganado», es necesario acumular una determinada cantidad. Por lo general, incluyen una lista de sistemas de pago y bancos populares a través de los cuales supuestamente es posible retirar las recompensas. Sin embargo, incluso cuando los usuarios consiguen acumular una cantidad suficiente para retirarla, los pagos prometidos no llegan. Esta entrada también detecta otro software no deseado basado en el código de estos programas.

Program.CloudInject.1

Detección de aplicaciones para Android modificadas mediante el servicio en la nube CloudInject y la utilidad para Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, mientras que el usuario interesado en modificarlos (modder) no controla qué se incorpora exactamente en ellos. Además, las aplicaciones obtienen una serie de permisos peligrosos. Una vez modificados los programas, el modder puede controlarlos de forma remota: bloquearlos, mostrar cuadros de diálogo configurables, realizar un seguimiento de la instalación y eliminación de otro software, etc.

Tool.Obfuscator.TrashCode.1

Tool.Obfuscator.TrashCode.2

Detección de programas para Android a los que se añade código basura mediante herramientas de hacking para el modding de aplicaciones. Este tipo de modificación se realiza con el fin de dificultar la comprensión de la lógica de los programas. Esta técnica se utiliza con frecuencia en troyanos bancarios y en versiones piratas de software.

Tool.NPMod.3

Tool.NPMod.1

Detección de aplicaciones para Android modificadas mediante la utilidad NP Manager. Esta utilidad contiene módulos para ofuscar y proteger el código de los programas, así como para eludir la comprobación de su firma digital después de modificarlos. La ofuscación que añade se utiliza con frecuencia en el malware para dificultar su detección y análisis.

Tool.LuckyPatcher.2.origin

Utilidad que permite modificar aplicaciones para Android instaladas (crear parches para ellas) con el fin de cambiar la lógica de su funcionamiento o eludir determinadas restricciones. Por ejemplo, con su ayuda los usuarios pueden intentar desactivar la comprobación del acceso root en aplicaciones bancarias u obtener recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet scripts especialmente preparados que cualquier usuario puede crear y añadir a la base de datos común. Las funciones de estos scripts también pueden ser maliciosas, por lo que los parches creados pueden representar un peligro potencial.

Adware.AdPush.3.origin

Adware.Adpush.21846

Módulos publicitarios que pueden integrarse en programas para Android. Muestran notificaciones publicitarias que inducen a error a los usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan determinados datos confidenciales y también pueden descargar otras aplicaciones e iniciar su instalación.

Adware.Opensite.15

Aplicaciones que se hacen pasar por herramientas de trucos para obtener recursos en los juegos. En realidad, están diseñadas para mostrar publicidad. Estos programas reciben de un servidor remoto una configuración según la cual cargan un sitio web determinado con anuncios: banners, ventanas emergentes, vídeos, etc.

Adware.Airpush.7.origin

Módulos de software que se integran en aplicaciones para Android y muestran distintos tipos de publicidad. Dependiendo de la versión y la modificación, pueden ser notificaciones publicitarias, ventanas emergentes o banners. Los ciberdelincuentes utilizan con frecuencia estos módulos para distribuir malware, ofreciendo instalar determinados programas. Además, estos módulos transmiten distinta información confidencial a un servidor remoto.

Adware.Bastion.1.origin

Detección de programas de optimización que crean periódicamente notificaciones con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema con el fin de mostrar publicidad durante la «optimización».

Amenazas en Google Play

En el tercer trimestre de 2026, los expertos del laboratorio antivirus de Doctor Web detectaron más de 50 aplicaciones maliciosas en el catálogo de Google Play. La mayoría pertenecían a la familia de troyanos Android.Joker, que suscriben de forma no autorizada a los usuarios a servicios móviles de pago. Para ello, roban códigos de confirmación de un solo uso interceptando los SMS y el contenido de las notificaciones. Los creadores de virus distribuían estos troyanos bajo la apariencia de distintos tipos de software, incluidos servicios de mensajería, utilidades para optimizar el funcionamiento de los dispositivos, aplicaciones de cámara, herramientas de reconocimiento de texto y reproductores multimedia para ver películas y series online.

Ejemplos de aplicaciones de Google Play que ocultaban troyanos Android.Joker: Special Camera — Android.Joker.2679, Color Messages — Android.Joker.2682

Al estudiar nuevas muestras de Android.Joker, nuestros expertos descubrieron que a algunas de ellas se les había añadido una funcionalidad que permite convertir los dispositivos infectados en nodos de salida de una botnet proxy. Los ciberdelincuentes pueden utilizar esta funcionalidad para vender servicios de acceso a Internet a través de la red de las víctimas.

El análisis mostró que uno de los servidores de control de la botnet no estaba protegido mediante autenticación. Gracias a ello, los analistas de virus de Doctor Web pudieron obtener del panel de control información sobre las estadísticas de su funcionamiento, así como sobre las aplicaciones en las que se habían incorporado módulos maliciosos de Android.Joker. Según los datos disponibles a finales de agosto, más de 187.000 dispositivos estaban infectados con las versiones actualizadas de los troyanos de esta familia, mientras que el número de clientes activos de la red proxy ilegal alcanzaba los 93.

Panel web de control de una botnet proxy basada en dispositivos infectados con algunas modificaciones de Android.Joker

Entre las demás amenazas detectadas se encontraban nuevas variantes de los troyanos Android.FakeApp, capaces de cargar distintos sitios web, incluidos sitios maliciosos y fraudulentos. Se distribuían bajo la apariencia de programas para gestionar las finanzas y planificar el presupuesto familiar, aplicaciones de organización para tomar notas, programas para buscar empleo y distintos juegos. Para ocultar su verdadera finalidad, la mayoría de estos troyanos ofrecían realmente las funciones declaradas, pero, en determinadas condiciones, el malware cargaba en su lugar sitios web fraudulentos.

Ejemplos de aplicaciones falsas maliciosas Android.FakeApp que nuestros expertos detectaron en Google Play en el tercer trimestre de 2026

Por ejemplo, Android.FakeApp.2022 cargaba un sitio web en el que se mostraba una lista de «ofertas de empleo actuales» con salarios elevados y condiciones laborales atractivas. Además, en el diseño del recurso web fraudulento se utilizaba un logotipo creado con el estilo y los colores del logotipo oficial del portal ruso de servicios públicos «Gosuslugi».

Una de las ofertas de empleo supuestamente disponibles para la víctima potencial

Se ofrecía a los usuarios consultar con más detalle las ofertas de empleo que les interesaban. Para ello, debían enviar una solicitud, tras lo cual supuestamente podían «empezar a ganar dinero hoy mismo». Los ciberdelincuentes solicitaban información confidencial, incluidos el nombre y los apellidos, la edad, la nacionalidad y el número de teléfono móvil, y también ofrecían elegir una hora conveniente para recibir una llamada de un «experto».

Un sitio web cargado por el troyano recopila datos personales que los estafadores pueden utilizar posteriormente para engañar a sus víctimas

Para proteger los dispositivos Android frente a malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso