Malware ArcticRAT convierte la pantalla negra en su mejor escondite. El teléfono parece apagado, bloqueado, muerto. Detrás de ese cristal oscuro, un atacante abre la aplicación del banco, aprueba permisos y revisa mensajes, sin que el dueño haya tocado el equipo.
El equipo zLabs de Zimperium destapó la operación y le puso nombre por los paquetes de sus primeras muestras, net.iceflow.arcticlink y net.frostlink.iceforge. El rastreo reunió 78 muestras únicas, 42 instaladores iniciales y 36 cargas finales, apoyadas en 21 direcciones de servidores de control. Son cifras de laboratorio, no de víctimas: Zimperium no publica un conteo de personas afectadas.
La familia empezó como un espía estrecho, dirigido a usuarios de 11 aplicaciones de criptomonedas. Esa etapa quedó atrás. Las versiones analizadas van de la 6.3 a la 6.5.2, con desarrollo activo, y el código de control suma 129 comandos distintos: ya es un troyano de acceso remoto completo, capaz de vigilar, robar credenciales y manejar el equipo a distancia.
Una página falsa de Google Play y dos permisos abren la puerta
El anzuelo arranca lejos de la tienda oficial. Zimperium documentó páginas que imitan a Google Play con mucho cuidado, repartidas por anuncios maliciosos, mensajes de texto engañosos y foros de terceros, con entregas apoyadas incluso en cubetas de Amazon Web Services. El disfraz cambia con el anzuelo: Amazon, TikTok, un gestor de archivos o una aplicación de criptomonedas conocida.
El primer programa que entra pide permiso de servicio de red privada virtual (VPN). Con ese permiso levanta un túnel sin salida, con la ruta completa del tráfico apuntando a ninguna parte, y corta la comunicación del equipo justo durante la instalación. El efecto buscado es ciego y concreto: la telemetría de Google Play Protect deja de reportar mientras el instalador falso, dibujado en una vista web, descifra la carga real, la instala con el instalador de sesiones de Android y desconecta la VPN.
Instalada la carga, llega el segundo permiso, el de Accesibilidad. Ese acceso le permite leer el contenido de la pantalla, automatizar toques y gestos, registrar teclas y preparar el control remoto. La comparación con el troyano bancario invisible que ya rondaba los Android deja ver el cambio de escala: ArcticRAT no se conforma con espiar la sesión del banco, toma el equipo entero.
Pantalla negra por fuera, banco abierto por dentro
El control remoto corre por un canal de pantalla oculta, identificado como HVNC, sobre el puerto 8888. El programa malicioso crea una pantalla virtual en memoria con las herramientas MediaProjection y VirtualDisplay de Android y transmite las imágenes en formato JPEG al servidor, que además recibe el canal principal por el puerto 9999, el micrófono por el 5000 y la transmisión de pantalla por el 5055. Dos tercios de las direcciones de control analizadas apuntan a Hong Kong y una quinta parte, a Alemania.
Mientras el atacante trabaja, la víctima no ve nada. ArcticRAT dibuja la pantalla negra, una capa que no se puede apartar, y baja el brillo a cero cuando el operador navega por aplicaciones bancarias o autoaprueba permisos del sistema. El equipo parece bloqueado o apagado, y esa quietud falsa compra los minutos que el robo necesita.
El detalle que marca época está en cómo el malware ArcticRAT trata los datos robados. Un comando del servidor, nombrado xAI_API en el código, entrega al teléfono una clave de acceso y pone a Grok, el modelo de xAI observado en la variante grok-4.20-0309-non-reasoning, a ordenar el botín. Una instrucción analiza las aplicaciones instaladas y marca las de banca, criptomonedas e intercambio; otra procesa los mensajes de texto, descarta la publicidad y aísla códigos de un solo uso, cambios de saldo y avisos de transferencia, con una proyección de la situación financiera de la víctima guardada en archivos JSON dentro de la carpeta /config/AI_DATA/. Zimperium vio esa integración por primera vez en muestras de mediados de julio de 2026.
El robo de la clave de desbloqueo usa teatro del mismo nivel. Una pantalla de bloqueo falsa, ajustada al idioma del equipo, captura el patrón, el PIN o la contraseña que la persona escribe; el servidor puede comprobar esa clave con un comando propio del sistema y, abusando de la depuración inalámbrica que Android estrenó en su versión 11, cambiar el PIN y dejar al dueño fuera de su propio teléfono. El módulo de rescate falso completa el repertorio: muestra una barra de progreso infinita que simula un cifrado de archivos que nunca ocurre.
La lectura práctica para quien guarda el banco en un Android es directa. Una aplicación recién instalada fuera de la tienda oficial que pide, en cadena, permiso de VPN y acceso de Accesibilidad está pidiendo exactamente las dos llaves de esta operación; esa pareja de permisos, en ese orden, es la señal de alarma que el informe de Zimperium deja escrita en cada fase. Vale la pena detenerse ahí: el control remoto impresiona, pero el daño duradero lo hace la ordenación automática de mensajes y saldos, porque convierte un robo torpe en una lista de víctimas ordenada por dinero disponible. El desarrollo sigue vivo, con versiones nuevas sobre la 6.5.2 ya documentadas en el laboratorio, y el conteo público se detiene, por ahora, en 78 muestras y 129 comandos.
Fuente: Zimperium
Top comments (0)