El troyano bancario para Android Crocodilus, detectado por primera vez en marzo de 2025, ha ampliado sus campañas de ataque hacia usuarios de criptomonedas y clientes bancarios en Europa y Sudamérica. Las primeras muestras del malware se limitaron principalmente a Turquía, donde se hacía pasar por aplicaciones de casinos en línea o falsificadas para robar credenciales de inicio de sesión.
Expansión geográfica
Según las conclusiones de ThreatFabric, el malware ahora ataca objetivos en Polonia, España, Argentina, Brasil, Indonesia, India y Estados Unidos. Una campaña dirigida a usuarios polacos utilizó anuncios de Facebook para promocionar aplicaciones de fidelización falsas. Al hacer clic en el anuncio, los usuarios eran redirigidos a sitios maliciosos donde se les instalaba un dropper de Crocodilus que elude las restricciones de Android 13+.
Los datos de transparencia de Facebook revelaron que estos anuncios llegaron a miles de usuarios en solo una o dos horas, centrándose en el público mayor de 35 años.
Ataques a aplicaciones bancarias y criptomonedas
Crocodilus se centra en aplicaciones bancarias y de criptomonedas. Una vez instalado, superpone páginas de inicio de sesión falsas sobre aplicaciones bancarias y cripto legítimas. En España, se hizo pasar por una actualización del navegador y atacó a casi todos los principales bancos.
Más allá de su expansión geográfica, Crocodilus ha añadido nuevas capacidades. Una mejora notable es la capacidad de modificar las listas de contactos de los dispositivos infectados, lo que permite insertar números de teléfono etiquetados como «Soporte bancario» para ataques de ingeniería social.
Otra mejora clave es un recolector automático de frases semilla dirigido a billeteras de criptomonedas. El malware ahora puede extraer frases semilla y claves privadas con mayor precisión, proporcionando datos preprocesados para tomar el control de las cuentas rápidamente.
Refuerzo de defensas
Mientras tanto, los desarrolladores han reforzado las defensas de Crocodilus mediante una ofuscación más profunda. La última variante cuenta con código empaquetado, cifrado XOR adicional y lógica intencionadamente enrevesada para resistir la ingeniería inversa.
Los analistas de MTI también observaron campañas más pequeñas dirigidas a aplicaciones de minería de criptomonedas y bancos digitales europeos. «Al igual que su predecesor, la nueva variante de Crocodilus presta mucha atención a las aplicaciones de billeteras de criptomonedas. Esta variante estaba equipada con un analizador sintáctico adicional, que ayudaba a extraer frases semilla y claves privadas de billeteras específicas», según el informe.
Comercio de malware
En un informe del 22 de abril, la empresa AMLBot reveló que los «crypto drainers», programas maliciosos diseñados para robar criptomonedas, se han vuelto más accesibles en el ecosistema de software como servicio. El informe reveló que los propagadores pueden alquilar un drainer por tan solo 100-300 USDt.
El 19 de mayo se reveló que el fabricante chino de impresoras Procolored había distribuido malware para robar bitcoins junto con sus controladores oficiales.