Investigadores de ESET han identificado una nueva variante del malware NGate que apunta a usuarios de Android en Brasil. En esta ocasi\u00f3n, los actores de amenaza han troyanizado la aplicaci\u00f3n leg\u00edtima HandyPay, utilizada para retransmitir datos NFC, incorporando c\u00f3digo malicioso que aparenta haber sido generado con herramientas de inteligencia artificial.<\/p>\n
Una amenaza que evoluciona<\/strong><\/p>\n El malware permite a los atacantes transferir datos NFC desde la tarjeta de pago de la v\u00edctima hacia sus propios dispositivos, utilizarlos para extracciones de efectivo en cajeros autom\u00e1ticos sin contacto y realizar pagos no autorizados. Adem\u00e1s, captura el PIN de la tarjeta y lo env\u00eda a un servidor de comando y control.<\/p>\n La campa\u00f1a, activa desde noviembre de 2025, distribuye la versi\u00f3n maliciosa de HandyPay principalmente a trav\u00e9s de un sitio web falso que suplanta a la loter\u00eda brasile\u00f1a Rio de Pr\u00eamios y mediante una p\u00e1gina fraudulenta que imita Google Play. Ambos portales estaban alojados en el mismo dominio, lo que apunta a un \u00fanico actor detr\u00e1s de la operaci\u00f3n.<\/p>\n HandyPay bajo ataque<\/strong><\/p>\n HandyPay, disponible en Google Play desde 2021, permite compartir datos NFC entre dispositivos vinculados, ofreciendo usos leg\u00edtimos como compartir una tarjeta con familiares. Sin embargo, los atacantes aprovecharon su bajo costo y la ausencia de permisos adicionales para modificarla y distribuirla como vector de fraude.<\/p>\n Mientras que kits de malware-as-a-service como NFU Pay o TX NFC cuestan entre 400 y 500 d\u00f3lares mensuales, HandyPay solo solicita una donaci\u00f3n de \u20ac9,99, lo que la convierte en una alternativa m\u00e1s econ\u00f3mica para los ciberdelincuentes.<\/p>\n Evidencias de uso de GenAI<\/strong><\/p>\n El an\u00e1lisis de ESET muestra que el c\u00f3digo malicioso contiene emojis en los registros, un indicio t\u00edpico de texto generado por IA. Esto sugiere que los atacantes utilizaron modelos de lenguaje para crear o modificar el malware, reflejando una tendencia creciente: la inteligencia artificial reduce la barrera de entrada al cibercrimen, permitiendo que actores con menos conocimientos t\u00e9cnicos desarrollen amenazas funcionales.<\/p>\n Flujo de ataque<\/strong><\/p>\n Las v\u00edctimas deben instalar manualmente la versi\u00f3n troyanizada de HandyPay desde fuera de Google Play. Una vez instalada, la aplicaci\u00f3n solicita ser configurada como predeterminada para pagos y pide al usuario ingresar el PIN de su tarjeta y acercarla al dispositivo. El malware retransmite los datos NFC al dispositivo del atacante y exfiltra el PIN hacia un servidor dedicado.<\/p>\n Durante el an\u00e1lisis, se identificaron cuatro dispositivos comprometidos en Brasil, con registros que inclu\u00edan c\u00f3digos PIN, direcciones IP y marcas de tiempo.<\/p>\n Respuesta y protecci\u00f3n<\/strong><\/p>\n ESET comparti\u00f3 sus hallazgos con Google, que protege autom\u00e1ticamente a los usuarios mediante Google Play Protect. Adem\u00e1s, se notific\u00f3 al desarrollador de HandyPay, quien confirm\u00f3 estar realizando una investigaci\u00f3n interna.<\/p>\n La versi\u00f3n maliciosa nunca estuvo disponible en la tienda oficial de Google Play, lo que refuerza la importancia de descargar aplicaciones \u00fanicamente desde fuentes confiables.<\/p>\n Contexto regional<\/strong><\/p>\n Brasil ya hab\u00eda sido objetivo de variantes anteriores de NGate, como PhantomCard, y se ha convertido en un terreno f\u00e9rtil para ataques basados en NFC. Los ciberdelincuentes combinan cada vez m\u00e1s estas t\u00e9cnicas con capacidades propias de troyanos bancarios y estrategias de ingenier\u00eda social, ampliando el alcance y sofisticaci\u00f3n de sus campa\u00f1as.<\/p>\n La reaparici\u00f3n de NGate en Brasil confirma que las amenazas basadas en NFC est\u00e1n en expansi\u00f3n y evolucionan r\u00e1pidamente. El uso de inteligencia artificial para generar c\u00f3digo malicioso marca un nuevo cap\u00edtulo en la sofisticaci\u00f3n del cibercrimen. Para los usuarios, la recomendaci\u00f3n sigue siendo clara: mantener las aplicaciones actualizadas, descargar \u00fanicamente desde tiendas oficiales y desconfiar de sitios web que prometen premios o protecci\u00f3n adicional.<\/p>\n <\/p>\n","protected":false},"excerpt":{"rendered":" Investigadores de ESET han identificado una nueva variante del malware NGate que apunta a usuarios de Android en Brasil. En esta ocasi\u00f3n, los actores de amenaza han troyanizado la aplicaci\u00f3n leg\u00edtima HandyPay, utilizada para retransmitir datos NFC, incorporando c\u00f3digo malicioso que aparenta haber sido generado con herramientas de inteligencia artificial. Una amenaza que evoluciona El […]<\/p>\n","protected":false},"author":1,"featured_media":390724,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[46],"tags":[],"class_list":["post-390723","post","type-post","status-publish","format-standard","has-post-thumbnail","category-ciencia-computacion"],"acf":{"antetitulo":""},"yoast_head":"\n