Troyano bancario Datzbro

Investigadores de ciberseguridad han descubierto recientemente un troyano bancario para Android, previamente no documentado, llamado Datzbro, diseñado para realizar ataques de robo de dispositivos (DTO) y realizar transacciones financieras fraudulentas. El malware se dirige principalmente a usuarios de edad avanzada, abusando de su confianza mediante campañas de ingeniería social en redes sociales.

Ingeniería social a través de grupos de Facebook

La campaña se detectó por primera vez en agosto de 2025 tras los informes de usuarios australianos. Los atacantes gestionaban grupos de Facebook que promocionaban "viajes activos para personas mayores", dirigidos a personas mayores interesadas en actividades sociales, eventos y reuniones presenciales. Otras regiones afectadas incluyen Singapur, Malasia, Canadá, Sudáfrica y el Reino Unido.

Estos grupos de Facebook comparten con frecuencia contenido generado por IA, afirmando organizar eventos para personas mayores. Si un objetivo muestra interés, los atacantes se comunican con él a través de Facebook Messenger o WhatsApp, invitándolo a descargar un archivo APK desde un enlace fraudulento (p. ej., download.seniorgroupapps.com).

Los sitios web falsos promocionan una supuesta aplicación comunitaria, afirmando que permitiría a las personas mayores:

• Regístrate para eventos y actividades.
• Conéctese con otros miembros del grupo.
• Realizar un seguimiento de los próximos horarios.

Algunos sitios incluso contienen enlaces de marcador de posición para una aplicación de iOS, lo que sugiere que los atacantes apuntan tanto a usuarios de Android como de iOS, distribuyendo aplicaciones TestFlight para iOS en un intento de engañar a las víctimas.

Cómo infecta Datzbro los dispositivos

Cuando una víctima descarga la aplicación de Android, puede ocurrir lo siguiente:

• Instala el malware directamente en el dispositivo, o
• Implementa un gotero creado con Zombinder, un servicio de enlace de APK que evita las restricciones de seguridad en Android 13 y versiones posteriores.

Se han identificado varias aplicaciones maliciosas que distribuyen Datzbro, entre ellas:

• Grupo de personas mayores (twzlibwr.rlrkvsdw.bcfwgozi)
• Años animados (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• Onda de baile (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool)

• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois)

• 麻豆传媒 (mobi.audio.aassistant)

• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)

• MT管理器 (varuhphk.vadneozj.tltldo)

• MT管理器 (spvojpr.bkkhxobj.twfwf)

• 大麦 (mnamrdrefa.edldylo.zish)

• MT管理器 (io.red.studio.tracker)

Capacidades y amenazas financieras

Datzbro posee una amplia gama de funcionalidades de software espía y fraude financiero, entre las que se incluyen:

• Grabación de audio y captura de fotografías.
• Acceder a archivos y fotografías.
• Realizar ataques de superposición, registro de teclas y control remoto de dispositivos.
• Utilizar los servicios de accesibilidad de Android para realizar acciones automatizadas en nombre de la víctima.

Una característica destacada es su modo de control remoto esquemático, que envía a los atacantes información detallada sobre todos los elementos de la pantalla, su posición y contenido. Esto les permite replicar la interfaz y controlar completamente el dispositivo de forma remota.

Además, Datzbro puede:

• Muestra superposiciones semitransparentes con texto personalizado para ocultar actividad maliciosa.
• Roba PIN y contraseñas de la pantalla de bloqueo del dispositivo para Alipay y WeChat.
• Escanee los registros de eventos de accesibilidad para aplicaciones bancarias o de billetera de criptomonedas y extraiga las credenciales.

Estas funciones resaltan el enfoque del malware en el beneficio financiero, convirtiendo lo que comienza como spyware en una sofisticada amenaza para robar información bancaria confidencial.

Infraestructura de atribución y mando y control

El análisis sugiere que Datzbro está vinculado a un grupo de amenazas de habla china, como lo demuestran las cadenas de depuración y registro en chino en el código fuente del malware. A diferencia de muchas familias de malware que utilizan paneles de comando y control web, Datzbro se conecta a una aplicación de escritorio en chino para operaciones de comando y control.

Una versión compilada de esta aplicación C2 se ha filtrado a un repositorio de virus público, lo que indica que el malware ahora puede distribuirse libremente entre los ciberdelincuentes, aumentando su alcance potencial.

Implicaciones para la seguridad móvil

El descubrimiento de Datzbro ilustra la evolución de las amenazas móviles, en particular las que explotan la ingeniería social para atacar a poblaciones vulnerables. Al centrarse en las personas mayores y aprovechar eventos aparentemente benignos de Facebook, los atacantes pueden escalar una simple interacción social hasta convertirla en robo de dispositivos, robo de credenciales y fraude financiero.

Esta campaña destaca la importancia de la vigilancia en la seguridad móvil, en particular para los usuarios de edad avanzada que pueden ser blanco de ataques a través de redes sociales basadas en la confianza.