Ciberataques: malware para Android impulsado por IA

Por primera vez, el malware de Android utiliza activamente IA generativa durante su funcionamiento.

Investigadores de seguridad de ESET han descubierto malware que ataca los sistemas de Google. Gemini-modelo utilizado para establecer un punto de apoyo en los dispositivos infectados, marcando así el comienzo de una nueva era de ciberataques móviles.

¿Qué es PromptSpy?

Los investigadores de la empresa europea de seguridad informática ESET han identificado un nuevo malware para Android llamado PromptSpy, que se hace pasar por un programa bancario.Aplicaciones “MorganArg” se disfraza de una versión falsa de la aplicación JPMorganChase.

Se distribuye a través de sitios web manipulados, no de las tiendas de aplicaciones oficiales. Hasta el momento, la campaña se dirige principalmente a usuarios de Argentina, pero la tecnología utilizada es aplicable globalmente en todas las plataformas.

Lo que distingue a PromptSpy del malware de Android conocido es el uso del modelo de inteligencia artificial Gemini de Google directamente durante el funcionamiento.

La IA analiza en tiempo real

En lugar de depender de comandos rígidos y preprogramados, el malware transmite el contenido actual de la pantalla a Gemini.

La IA analiza la interfaz y especifica paso a paso qué botones deben pulsarse para evitar que la aplicación se cierre.

«El malware usa IA para indicarle qué hacer a continuación», explica Lukas Stefanko, de ESET Research. «Esto le permite funcionar en prácticamente cualquier dispositivo, independientemente del fabricante o la versión de Android. Esto lo hace especialmente adaptable».

Este enfoque permite que el malware se adapte dinámicamente a diferentes interfaces de dispositivos y versiones de Android, sin que los atacantes tengan que escribir código separado para cada dispositivo.

Acceso al dispositivo después de la instalación

Tras una instalación exitosa, PromptSpy instala un módulo de control remoto que otorga a los atacantes un control casi total sobre el smartphone. En concreto, los delincuentes pueden:

– Monitorizar la pantalla en tiempo real,
– Lectura de pulsaciones de teclas y contraseñas,
– interceptar el código de bloqueo del dispositivo,
– Leer mensajes y abrir aplicaciones, así como
– Iniciar transferencias bancarias de forma independiente.

Eliminar la aplicación es aún más difícil porque los elementos invisibles bloquean activamente ciertos botones.

“Estamos presenciando un nuevo nivel de malware para Android”, afirmó Stefanko. “La IA no solo se usa como palabra de moda, sino que se emplea específicamente para eludir los mecanismos de protección”.

El segundo caso de este tipo

PromptSpy no es el primer caso en el que la IA generativa se ha integrado profundamente en un código malicioso.

Tras el descubrimiento del ransomware impulsado por IA llamado PromptLock en agosto de 2025, este hallazgo marca el segundo caso conocido en el que los ciberdelincuentes utilizan específicamente IA para superar las barreras técnicas de seguridad.

La evidencia en el código base sugiere que los desarrolladores están trabajando en un entorno de habla china.

Cómo pueden protegerse los usuarios de Android

Incluso si la amenaza es tecnológicamente nueva, las medidas de seguridad clásicas aún brindan una protección confiable.

◉ Instala solo aplicaciones de fuentes oficiales. Quienes usan exclusivamente Google Play y no descargan archivos APK de sitios web de terceros cierran la vía principal de infección.

Tenga cuidado con los permisos de accesibilidad. Si una aplicación solicita acceso a funciones de accesibilidad, sea especialmente escéptico. Estos permisos permiten un amplio acceso al dispositivo y suelen ser utilizados indebidamente por malware.

Realice actualizaciones periódicas del sistema. Las versiones actuales de Android solucionan vulnerabilidades de seguridad conocidas que el malware explota.

◉ Mantenga Google Play Protect activado. Los dispositivos con Play Protect activado están protegidos contra las variantes conocidas de PromptSpy.

◉ En caso de sospecha de infección: use el modo seguro. Si sospecha de una infección, debe reiniciar su dispositivo en modo seguro. En este estado, las aplicaciones de terceros están inactivas y, por lo general, se pueden desinstalar.

ESET publica más detalles técnicos y capturas de pantalla para su análisis en su blog de seguridad oficial en welivesecurity.com.

Sierks Media / © Foto: Daniel Romero, Unsplash