{"id":210732,"date":"2026-11-13T12:01:05","date_gmt":"2026-11-13T12:01:05","guid":{"rendered":"http:\/\/cordobadirecto.com\/index.php\/2026\/11\/13\/arcticrat-el-nuevo-troyano-de-android-que-usa-una-falsa-vpn-para-esquivar-google-play-protect\/"},"modified":"2026-11-13T12:01:05","modified_gmt":"2026-11-13T12:01:05","slug":"arcticrat-el-nuevo-troyano-de-android-que-usa-una-falsa-vpn-para-esquivar-google-play-protect","status":"publish","type":"post","link":"http:\/\/cordobadirecto.com\/index.php\/2026\/11\/13\/arcticrat-el-nuevo-troyano-de-android-que-usa-una-falsa-vpn-para-esquivar-google-play-protect\/","title":{"rendered":"ArcticRAT, el nuevo troyano de Android que usa una falsa VPN para esquivar Google Play Protect"},"content":{"rendered":"
\n<\/p>\n

ArcticRAT es un troyano<\/a> para Android que empez\u00f3 como un spyware centrado en apps de criptomonedas y se ha convertido en una herramienta de control remoto con funciones de inteligencia artificial. Sus operadores usan una VPN falsa<\/strong> para dejar ciega la protecci\u00f3n de Google Play durante la instalaci\u00f3n y despu\u00e9s manejan el m\u00f3vil a distancia. Vamos a explicarte c\u00f3mo opera y qu\u00e9 se\u00f1ales conviene vigilar en tu dispositivo.<\/p>\n

El hallazgo lo firman los investigadores de zLabs<\/a>, el laboratorio de Zimperium. Catalogaron 78 muestras<\/strong> del malware, 42 droppers, 36 payloads, 21 direcciones IP de mando y control y 129 comandos distintos<\/strong>, en versiones que van de la 6.3 a la 6.5.2. Las funciones de inteligencia artificial aparecieron en muestras de mediados de julio de 2026<\/strong>, el momento que los investigadores marcan como el giro de la campa\u00f1a hacia el robo financiero automatizado.<\/p>\n

C\u00f3mo logra la falsa VPN sortear Google Play Protect<\/h2>\n

Las v\u00edctimas llegan a una p\u00e1gina falsa de Google Play a trav\u00e9s de malvertising, smishing o foros de terceros, y algunos payloads se han servido desde buckets de Amazon Web Services. Los se\u00f1uelos suplantan a Amazon, TikTok<\/strong>, gestores de archivos y apps de criptomonedas. Durante la instalaci\u00f3n, el dropper solicita permisos de servicio VPN<\/a> y levanta un t\u00fanel con ruta 0.0.0.0\/0<\/strong> sin conexi\u00f3n upstream: seg\u00fan Zimperium, esto anula el tr\u00e1fico del dispositivo y deja ciega la telemetr\u00eda de Google Play Protect mientras el payload se prepara.<\/p>\n

Una pantalla de instalaci\u00f3n falsa, dibujada con WebView, entretiene a la v\u00edctima mientras el dropper descifra el payload, lo instala con el instalador de sesiones nativo de Android y cierra la VPN sin levantar sospechas. El nombre del malware procede de paquetes antiguos como net.iceflow.arcticlink y net.frostlink.iceforge, identificados por los investigadores de zLabs.<\/p>\n

Qu\u00e9 hace el atacante una vez dentro del m\u00f3vil<\/h2>\n

Tras obtener el permiso de Accesibilidad, ArcticRAT env\u00eda un perfil DEVINFO<\/strong> con el nivel de bater\u00eda, el estado de la pantalla, la conexi\u00f3n Wi-Fi y el fondo de pantalla, datos que el servidor usa para detectar si el dispositivo es un entorno de pruebas. Con esa informaci\u00f3n decide qu\u00e9 rutinas activar. La comunicaci\u00f3n viaja por sockets TCP: el 9999<\/strong> lleva el canal principal, el 8888 el acceso VNC oculto o HVNC, el 5000 el audio del micr\u00f3fono y el 5055 la transmisi\u00f3n de pantalla.<\/p>\n

Los fotogramas de pantalla salen como flujos JPEG capturados con MediaProjection y VirtualDisplay. Encima de ese flujo, una capa negra con el brillo ajustado a cero oculta toda la actividad: el tel\u00e9fono parece apagado mientras el atacante lo controla a distancia, abre aplicaciones y navega por ellas sin que la v\u00edctima note ning\u00fan cambio en la pantalla real.<\/p>\n

\"Imagen
Malware en un dispositivo m\u00f3vil \/ Foto: Creative Commons<\/figcaption><\/figure>\n

C\u00f3mo entra en juego la IA de xAI para filtrar datos financieros<\/h2>\n

El comando entrega al dispositivo una clave de acceso a la API de xAI, y desde ese momento el malware usa el modelo grok-4.20-0309-non-reasoning<\/strong> para procesar la informaci\u00f3n robada. Un primer prompt filtra las aplicaciones instaladas en busca de apps de banca, criptomonedas y trading. Un segundo prompt revisa los SMS, descarta las promociones y conserva los c\u00f3digos de un solo uso, los cambios de saldo y las notificaciones de transferencias.<\/xai_api><\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"

ArcticRAT es un troyano para Android que empez\u00f3 como un spyware centrado en apps de criptomonedas y se ha convertido en una herramienta de control remoto con funciones de inteligencia artificial. Sus operadores usan una VPN falsa para dejar ciega la protecci\u00f3n de Google Play durante la instalaci\u00f3n y despu\u00e9s manejan el m\u00f3vil a distancia. […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":[],"categories":[42],"tags":[],"_links":{"self":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210732"}],"collection":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/comments?post=210732"}],"version-history":[{"count":0,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/posts\/210732\/revisions"}],"wp:attachment":[{"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/media?parent=210732"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/categories?post=210732"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/cordobadirecto.com\/index.php\/wp-json\/wp\/v2\/tags?post=210732"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}