StreamRat: troyano Android en Ads de Meta roba datos de usuarios
Un nuevo troyano bancario para Android llamado StreamRat fue descubierto por investigadores de ciberseguridad, quienes revelaron que fue promovido a usuarios hispanohablantes a través de una campaña falsa de televisión por Internet en Meta. La campaña publicitaria se centró en España y alcanzó a un estimado de 570.950 cuentas en la Unión Europea, según informó ThreatFabric. Aunque no se han revelado datos sobre dispositivos infectados o víctimas confirmadas, el anuncio destacó la sofisticación técnica del malware, atribuyéndolo a desarrolladores con experiencia previa en el ecosistema de malware para Android.
StreamRat opera mediante una secuencia de solicitudes de permisos tras la instalación del paquete APK. El ataque comienza cuando un usuario es dirigido a un sitio web diseñado específicamente, que verifica el sistema operativo y ofrece una descarga solo para dispositivos Android. El APK descargado actúa como un 'dropper' que solicita convertirse en la aplicación de inicio predeterminada, establecer una conexión VPN no funcional y, finalmente, instalar el payload principal. Una vez instalado, StreamRat solicita acceso mediante la función de Accesibilidad, lo que le permite capturar teclas, mostrar superposiciones falsas para robar credenciales y controlar el dispositivo de forma remota. Además, utiliza la API de MediaProjection o el método takeScreenshot() para capturar la pantalla, incluso fuera del indicador de uso.
ThreatFabric no atribuyó la campaña a un actor amenaza específico, pero señaló que el código del troyano proviene de una cuenta de GitHub vinculada a una campaña anterior conocida como Mirax. El dropper utilizado en StreamRat es muy similar al empleado en esa operación, incluyendo el uso de GitHub Releases para alojar los archivos con enlaces de respaldo y actualizaciones diarias. Aunque la campaña principal se extendió desde el 11 de junio hasta el 3 de julio de 2026, también se detectó presencia en TikTok, aunque sin datos cuantitativos sobre su alcance. Las bandas publicitarias probablemente se mostraron igualmente en Facebook e Instagram.
La amenaza representa un avance significativo en la evolución de los troyanos móviles, especialmente por su uso de anuncios en redes sociales como vector de ataque y su capacidad para manipular permisos del sistema operativo. La interrupción temporal del tráfico mediante la VPN podría estar diseñada para evitar detecciones en tiempo real, aunque Google Play Protect mantiene protección offline para aplicaciones potencialmente dañinas conocidas. Para mitigar el riesgo, los usuarios deben evitar instalar APKs desde fuentes no oficiales y detener inmediatamente cualquier aplicación que solicite permisos de sistema no relacionados con su función anunciada. Este incidente subraya la creciente sofisticación de los atacantes móviles y la necesidad de mayor conciencia sobre los peligros de la instalación de software fuera de las tiendas oficiales.