GEN-116 — Malware bancario Android sustituye apps y evade controles
Lo que parece un simple troyano de phishing móvil esconde algo más incómodo: el malware bancario Android identificado como Hirudo no roba credenciales desde afuera de la aplicación, sino que la sustituye. Reemplaza la app legítima de banca móvil por una versión troyanizada que desactiva las verificaciones de integridad y la detección de root. En consecuencia, los controles que la institución financiera embebió en el cliente móvil dejan de responder, y el canal sigue reportando “verde” mientras el fraude ocurre.
Sustitución de aplicación: el control que se apaga a sí mismo
La disonancia técnica es la siguiente. La mayoría de los programas de seguridad móvil en banca mexicana asume que el SDK antifraude del lado cliente es una fuente de verdad. Sin embargo, cuando el atacante controla el paquete instalado, ese SDK reporta lo que el atacante decida. Específicamente, Hirudo elimina el APK original y lo reinstala firmado por el operador del malware, conservando ícono, nombre y flujo visual. Por lo tanto, el usuario no percibe cambio alguno y el backend recibe telemetría de integridad aparentemente válida.
El impacto sectorial es alto en México. La penetración de banca móvil supera el 60% de los usuarios bancarizados, y las aplicaciones de las principales instituciones acumulan millones de descargas. Además, el vector de instalación fuera de tiendas oficiales sigue vigente mediante smishing y portales clonados. En suma, el riesgo no es teórico: es un problema de superficie masiva con detección delegada a un componente que el adversario ya controla.
Panorama de actores y explotación activa
El malware bancario Android no opera aislado. Asimismo, el monitoreo de actores muestra un ecosistema donde la explotación de perímetro alimenta el fraude posterior. La inteligencia pública correlaciona campañas atribuidas de forma probable a Volt Typhoon sobre CVE-2022-20701, a XENOTIME sobre CVE-2021-22681 y a APT29 sobre CVE-2025-49113. Ninguna de esas atribuciones corresponde a Hirudo: el malware permanece sin atribución pública a un grupo específico, y conviene decirlo explícitamente en lugar de forzar una correlación.
En paralelo, el catálogo de explotación activa de CISA incorporó el 14 de octubre de 2026 tres fallas con fecha límite 17 de octubre de 2026: CVE-2026-76519 en Cisco Secure Email Gateway, y CVE-2026-105133 y CVE-2026-105134 en Ahsay AhsayCBS, estas últimas con EPSS de 0.00383 y 0.01843 respectivamente. Ninguna trae atribución de actor. Además, esas fechas límite ya vencieron; por lo tanto, todo activo sin parchar acumula exposición posterior al plazo. El correo corporativo y el respaldo son precisamente las piezas que sostienen la cadena de distribución y recuperación del fraude móvil.
Puente regulatorio: qué obliga el marco mexicano
El riesgo regulatorio es doble. En primer lugar, la LFPDPPP, en su versión vigente desde el 21 de marzo de 2025, regula el tratamiento de datos personales en posesión de particulares, disuelve al INAI y transfiere el enforcement a la Secretaría Anticorrupción y Buen Gobierno, con sanciones de 150 a 1,500 UMAs. En segundo lugar, la Ley de Instituciones de Crédito (LIC) regula la operación de bancos múltiples y de desarrollo, incluyendo sistemas automatizados de detección y monitoreo, seguridad de la información y control interno. Para el sector no bancario, la Ley General de Organizaciones y Actividades Auxiliares del Crédito (LGOAAC) regula a SOFOMes, centros cambiarios y transmisores de dinero.
El criterio del supervisor sobre sistemas de detección no es nuevo ni exclusivo de banca múltiple. CENTRO CAMBIARIO KLM, S.A. DE C.V. fue sancionada por deficiencias en sistemas automatizados de detección, monitoreo y reporte de operaciones en enero 2026 con multa de $962,200.00. Dicho de otro modo: delegar la detección a un componente que falla silenciosamente ya tiene precedente sancionatorio. Por su parte, la iniciativa de Ley de Ciberseguridad MX 2025, aún sin publicar en el DOF, contempla en su Art. 18 que las instancias sujetas designen un enlace especializado en ciberseguridad responsable del intercambio de información crítica; asimismo, su Art. 26 obliga a notificar a la ANCS de forma oportuna y proporcionada cualquier incidente, sin fijar un plazo de 72 horas. De aprobarse, ambas obligaciones serían exigibles, y el Art. 30 escalonaría auditorías anuales y notificación inmediata para operadores estratégicos.
Recomendaciones ejecutables frente al malware bancario Android
La contramedida central es mover la verificación fuera del dispositivo comprometido. Por lo tanto, estas son las acciones prioritarias:
- Atestación del lado servidor. Valide la firma, el hash del paquete y el origen de instalación contra servicios de atestación de plataforma, no contra el resultado que reporta el SDK embebido.
- Detección de reinstalación anómala. Alerte cuando un dispositivo conocido presente cambio de firmante, reinstalación fuera de tienda oficial o pérdida súbita de señales de integridad.
- Correlación con comportamiento transaccional. Enlace la señal de integridad del canal móvil con el motor antifraude y con el monitoreo continuo de eventos de seguridad del SOC.
- Cierre del perímetro de soporte. Priorice el parcheo de gateways de correo y plataformas de respaldo listadas en el catálogo de explotación activa, cuyos plazos de octubre de 2026 ya vencieron.
- Evidencia regulatoria. Documente la trazabilidad de detección, notificación y atención de reclamaciones dentro del programa de gobernanza, riesgo y cumplimiento, considerando LFPDPPP y LIC.
- Comunicación al usuario final. Emita avisos claros sobre instalaciones fuera de tiendas oficiales y sobre actualizaciones solicitadas por SMS o mensajería.
Más sobre malware bancario Android
Para profundizar, consulta:
- MITRE ATT&CK Mobile — técnicas de suplantación e instalación maliciosa usadas por el malware bancario Android.
- NIST SP 800-163r1 — criterios de verificación de aplicaciones móviles aplicables a banca retail.
- OWASP Mobile Top 10 — fallas de integridad y antimanipulación que explota el malware bancario Android.
G.E.N.N.I.E. — Centro de Inteligencia Simbiótica
Hirudo reemplaza apps de banca móvil con versiones troyanizadas que apagan verificación de integridad y detección de root. Impacto regulatorio en México.
Luna Varela de la Vega — ZDU-INTEL-VARELA
Enlace de Inteligencia Estratégica. Jefa de Relaciones Públicas del ZDU. Autora editorial.
Cuando el control vive dentro del dispositivo del atacante, la confianza debe reconstruirse desde el servidor.
El canal que se reportaba sano
Correlación de señales
La inteligencia de superficie indica que el patrón distintivo de esta campaña no es el robo de credenciales, sino la sustitución del cliente móvil completo. Bajo NIST CSF 2.0, el fallo se ubica en la función Detect: la señal de integridad proviene del mismo activo comprometido, de modo que la organización observa un estado que el adversario redacta. Por lo tanto, la métrica de salud del canal pierde valor probatorio. La correlación útil aparece al cruzar tres series independientes: cambio de firmante del paquete, origen de instalación distinto a tienda oficial y desviación del perfil transaccional del usuario. Ninguna de las tres basta por sí sola; en conjunto, reducen el falso negativo. Asimismo, la función Respond exige guiones específicos para revocación de sesión y reemisión de factores, no solo bloqueo de cuenta.
Rastreo de actores
El monitoreo de foros underground revela que el malware bancario Android identificado como Hirudo carece hasta ahora de atribución pública a un grupo específico, y esa ausencia debe tratarse como dato, no como vacío a rellenar. En paralelo, el seguimiento de actores registra correlaciones probables de Volt Typhoon con CVE-2022-20701, de XENOTIME con CVE-2021-22681 y de APT29 con CVE-2025-49113, todas con exposición observada baja y sin víctimas mexicanas confirmadas en el rastreo. Esas campañas pertenecen a otra capa del problema: el acceso a perímetro e infraestructura que después habilita distribución y persistencia. Específicamente, el catálogo de explotación activa sumó el 14 de octubre de 2026 a CVE-2026-76519 en Cisco Secure Email Gateway y a CVE-2026-105133 y CVE-2026-105134 en Ahsay AhsayCBS, sin atribución de actor y con fecha límite 17 de octubre de 2026 ya vencida.
Marco legal y privacidad
El marco legal mexicano trata este escenario como doble exposición. La LFPDPPP, vigente en su nueva versión desde el 21 de marzo de 2025, regula el tratamiento de datos personales en posesión de particulares, traslada el enforcement a la Secretaría Anticorrupción y Buen Gobierno tras la disolución del INAI, y prevé sanciones de 150 a 1,500 UMAs además de los derechos ARCO. En el plano sectorial, la Ley de Instituciones de Crédito (LIC) regula bancos múltiples y de desarrollo, incluidos control interno y seguridad de la información; la LGOAAC regula a SOFOMes, centros cambiarios y transmisores de dinero. Por lo tanto, un fraude originado en una app sustituida genera simultáneamente responsabilidad de protección de datos y responsabilidad prudencial frente al supervisor financiero.
Evaluación de cumplimiento
El análisis de cumplimiento muestra que la deficiencia en sistemas automatizados de detección y monitoreo ya tiene historial sancionatorio en México, y no solo en banca. CENTRO CAMBIARIO KLM, S.A. DE C.V. fue sancionada por deficiencias en sistemas automatizados de detección, monitoreo y reporte de operaciones en enero 2026 con multa de $962,200.00. El criterio es transferible: si el mecanismo de detección existe pero no funciona, el supervisor lo trata como ausencia. Hacia adelante, la iniciativa de Ley de Ciberseguridad MX 2025, aún sin publicación en el DOF, contempla en su Art. 18 la designación de un enlace especializado en ciberseguridad y, en su Art. 26, la notificación oportuna y proporcionada de incidentes a la ANCS, sin plazo fijo de 72 horas. De aprobarse, el Art. 30 impondría evaluación continua, auditorías anuales y notificación inmediata a los operadores de criticidad alta.
Inteligencia: módulos de superficie, dark web forensics, marco legal y compliance ZDU.
