ArcticRAT es un troyano para Android que empezó como un spyware centrado en apps de criptomonedas y se ha convertido en una herramienta de control remoto con funciones de inteligencia artificial. Sus operadores usan una VPN falsa para dejar ciega la protección de Google Play durante la instalación y después manejan el móvil a distancia. Vamos a explicarte cómo opera y qué señales conviene vigilar en tu dispositivo.
El hallazgo lo firman los investigadores de zLabs, el laboratorio de Zimperium. Catalogaron 78 muestras del malware, 42 droppers, 36 payloads, 21 direcciones IP de mando y control y 129 comandos distintos, en versiones que van de la 6.3 a la 6.5.2. Las funciones de inteligencia artificial aparecieron en muestras de mediados de julio de 2026, el momento que los investigadores marcan como el giro de la campaña hacia el robo financiero automatizado.
Cómo logra la falsa VPN sortear Google Play Protect
Las víctimas llegan a una página falsa de Google Play a través de malvertising, smishing o foros de terceros, y algunos payloads se han servido desde buckets de Amazon Web Services. Los señuelos suplantan a Amazon, TikTok, gestores de archivos y apps de criptomonedas. Durante la instalación, el dropper solicita permisos de servicio VPN y levanta un túnel con ruta 0.0.0.0/0 sin conexión upstream: según Zimperium, esto anula el tráfico del dispositivo y deja ciega la telemetría de Google Play Protect mientras el payload se prepara.
Una pantalla de instalación falsa, dibujada con WebView, entretiene a la víctima mientras el dropper descifra el payload, lo instala con el instalador de sesiones nativo de Android y cierra la VPN sin levantar sospechas. El nombre del malware procede de paquetes antiguos como net.iceflow.arcticlink y net.frostlink.iceforge, identificados por los investigadores de zLabs.
Qué hace el atacante una vez dentro del móvil
Tras obtener el permiso de Accesibilidad, ArcticRAT envía un perfil DEVINFO con el nivel de batería, el estado de la pantalla, la conexión Wi-Fi y el fondo de pantalla, datos que el servidor usa para detectar si el dispositivo es un entorno de pruebas. Con esa información decide qué rutinas activar. La comunicación viaja por sockets TCP: el 9999 lleva el canal principal, el 8888 el acceso VNC oculto o HVNC, el 5000 el audio del micrófono y el 5055 la transmisión de pantalla.
Los fotogramas de pantalla salen como flujos JPEG capturados con MediaProjection y VirtualDisplay. Encima de ese flujo, una capa negra con el brillo ajustado a cero oculta toda la actividad: el teléfono parece apagado mientras el atacante lo controla a distancia, abre aplicaciones y navega por ellas sin que la víctima note ningún cambio en la pantalla real.
Cómo entra en juego la IA de xAI para filtrar datos financieros
El comando
