Ciberseguridad

Una nueva variante del malware para Android conocido como Godfather está llevando la ciberdelincuencia móvil a un nivel superior al usar apps bancarias reales. Esta versión evolucionada no solo roba datos de acceso bancarios o manipula transacciones: lo hace mientras el usuario cree estar usando su app bancaria real, gracias a una innovadora técnica basada en virtualización.

Según el informe publicado por la firma de ciberseguridad Zimperium, Godfather ahora crea entornos virtuales dentro del propio dispositivo móvil, lo que le permite cargar y ejecutar aplicaciones bancarias reales dentro de un contenedor controlado por el propio malware. Esta táctica permite el robo silencioso de credenciales, la manipulación de transferencias y la vigilancia en tiempo real, todo ello sin levantar sospechas del usuario ni de los mecanismos de seguridad del sistema operativo Android.

¿Cómo funciona esta nueva versión de Godfather?

A diferencia de otros troyanos bancarios móviles que simplemente superponen pantallas falsas (overlays) para robar datos, Godfather ha adoptado una estrategia mucho más compleja: la virtualización total. A través de un entorno controlado que emula el sistema Android, el malware puede cargar versiones reales de apps bancarias, capturar todo lo que el usuario hace dentro de ellas, y redirigir sus acciones sin que lo note.

Cuando el usuario abre su app bancaria, Godfather intercepta la acción mediante el uso de permisos de accesibilidad y redirige la ejecución a un entorno virtualizado, donde se lanza una copia real de la aplicación. El usuario ve la interfaz legítima, introduce su contraseña o PIN y realiza sus operaciones como de costumbre. Pero todo lo que ocurre dentro de ese espacio virtual está siendo registrado y controlado por el atacante.

Este ataque se apoya en herramientas de código abierto como VirtualApp y Xposed, muy populares entre desarrolladores que crean entornos de prueba o modificación de apps. En manos maliciosas, estas herramientas permiten el “hooking” de APIs críticas para capturar credenciales, interceptar respuestas del servidor bancario y manipular el flujo de navegación.

Virtualización maliciosa: una técnica en auge

El uso de la virtualización en malware móvil a través de apps como lo hace Godfather no es del todo nuevo. A finales de 2023, otro malware llamado FjordPhantom ya aplicaba una técnica similar para espiar apps del sudeste asiático dentro de contenedores. Lo que distingue a Godfather es su amplio alcance: más de 500 apps de banca, criptomonedas y comercio electrónico están entre sus objetivos.

Además, Godfather utiliza elementos técnicos avanzados como un sistema de archivos virtual, identificadores de proceso falsos (vPIDs) y spoofing de Intents, todo ello envuelto en una app host aparentemente inofensiva. Para Android, todo parece legítimo, porque la app que actúa como contenedor declara en su manifiesto solo las actividades visibles, no las maliciosas.

Una pieza clave en esta operación es el uso de la llamada StubActivity, una actividad “vacía” que actúa como intermediaria entre el sistema Android y la app real cargada dentro del contenedor. El malware usa este mecanismo para lanzar apps reales desde su entorno sin levantar banderas de seguridad.

¿Qué ve el usuario?

Lo más inquietante del ataque es que el usuario no ve nada extraño. Todo ocurre como de costumbre: abre su app de banca, accede con normalidad, e incluso puede recibir notificaciones aparentemente legítimas. En los momentos clave, Godfather puede mostrar pantallas falsas de bloqueo o de actualización del sistema, que sirven como cortina de humo mientras el malware toma el control del dispositivo, navega por la app, y realiza transferencias sin que el usuario lo advierta.

Origen y evolución del malware Godfather

El malware Godfather fue identificado por primera vez en 2021 por ThreatFabric y, desde entonces, ha evolucionado constantemente hasta llegar a este uso de apps. En su versión de 2022, analizada por Group-IB, usaba superposiciones HTML para simular pantallas de login de unas 400 aplicaciones, principalmente en 16 países.

La versión actual representa un gran salto en complejidad. Aunque la muestra descubierta por Zimperium parece enfocada en una docena de bancos turcos, el malware ya tiene la capacidad técnica de atacar hasta 500 apps diferentes en múltiples regiones, lo que sugiere una campaña escalable que puede activarse de forma segmentada.

El despliegue modular permite a los operadores de Godfather activar distintas configuraciones según el país o el tipo de víctima. No se descarta que estén desarrollando campañas dirigidas hacia Europa, Latinoamérica o incluso empresas de comercio electrónico, más allá del sector bancario.