PromptSpy: la primera amenaza Android con IA generativa que cambia ciberseguridad móvil
La compañía ESET ha sido quien ha detectado todo y la que ha mostrado el riesgo que supone para los equipos con el sistema operativo de Google.
ESET ha identificado una nueva y preocupante amenaza para dispositivos Android bautizada como PromptSpy, el primer malware móvil que utiliza inteligencia artificial generativa en su funcionamiento. Este hallazgo, inédito hasta la fecha, demuestra cómo los ciberdelincuentes han comenzado a usar modelos de IA no solo para automatizar tareas, sino también para aumentar la persistencia y resistencia de sus ataques.
A diferencia del software malicioso convencional, PromptSpy integra un modelo de IA generativa para interpretar lo que aparece en pantalla y generar instrucciones específicas que le permiten mantenerse activo en segundo plano. Gracias a esta capacidad, el desarrollo puede adaptarse al diseño y a la versión del sistema operativo Android en el que se ejecute, complicando su cierre o eliminación por parte del usuario.
Este descubrimiento marca el primer uso documentado de IA generativa con ese propósito en Android. Según explica ESET, los operadores detrás de PromptSpy utilizan la IA para enviarle instrucciones que manipulan la interfaz de forma dinámica, logrando que el malware se mantenga residente incluso ante cierres forzados. De ahí que la compañía haya decidido utilizar el nombre antes mencionado, en alusión directa a la combinación de prompts e inteligencia artificial que la caracteriza.
Control remoto y robo de datos
Aunque el papel de la IA generativa se centra en mantener la persistencia de la amenaza, el verdadero problema de PromptSpy reside en su módulo de control remoto. Este utiliza tecnología VNC (Virtual Network Computing) para permitir que los atacantes visualicen y manipulen la pantalla del dispositivo infectado como si lo tuvieran en sus manos.
Gracias a esa puerta trasera, PromptSpy es capaz de realizar ciertas acciones que complican su detección y la posibilidad de eliminarlo del equipo en el que reside:
- Capturar información visible incluso en la pantalla de bloqueo del teléfono.
- Impedir la desinstalación mediante superposiciones invisibles.
- Recopilar información del dispositivo, incluyendo sus características técnicas.
- Realizar capturas de pantalla o grabaciones en vídeo.
- Comunicarse de forma cifrada con su servidor de mando y control (C&C) usando cifrado AES.
Desde ESEt se indica que “el malware para Android suele depender de la interacción con la interfaz del usuario. Con IA generativa, los atacantes pueden adaptarse prácticamente a cualquier modelo de teléfono, diseño o versión del sistema operativo”. Esto significa que el mismo código puede infiltrarse en múltiples dispositivos sin requerir grandes modificaciones, algo impensable hasta hace poco.
Además, se indica que PromptSpy es capaz de observar y tomar control sobre la pantalla e, incluso, utiliza los Servicios de Accesibilidad del sistema para bloquear las acciones del usuario, especialmente las que intentan eliminar la app maliciosa. Todo esto, combinado con el uso de IA, convierte a esta amenaza en un desarrollo de nueva generación.
Un posible objetivo regional
Durante el análisis de su distribución y configuración, los investigadores de ESET observaron indicios que sugieren un enfoque geográfico concreto. Los rastros lingüísticos y las rutas de propagación apuntan a que la campaña estaría dirigida principalmente a usuarios de Argentina y tendría un fin económico.
El malware se difunde desde un portal específico bajo la denominación MorganArg, posiblemente una abreviatura de Morgan Argentina. Además, utiliza un icono visualmente parecido al del banco Morgan Chase, lo que podría tratarse de un intento de parecer una app legítima y confiable.
Es importante indicar que, según la compañía de seguridad de la que hablamos, PromptSpy nunca ha estado disponible en Google Play y tampoco se ha detectado en la telemetría de la compañía, lo que sugiere que podría tratarse de una prueba de concepto, un proyecto experimental o una campaña de distribución muy limitada. Como parte de la App Defense Alliance, ESET ha compartido rápidamente sus hallazgos con Google para mitigar el riesgo.
Cómo eliminar PromptSpy del dispositivo
Una de las particularidades más molestas de PromptSpy es que impide su propia desinstalación utilizando superposiciones invisibles que bloquean la interacción del usuario con los botones del sistema. Por suerte, existe un procedimiento eficaz para eliminarlo.
Este consiste en reiniciar el teléfono en Modo Seguro, donde todas las aplicaciones de terceros quedan temporalmente bloqueadas. En este entorno aislado, el usuario puede borrar MorganArg sin interferencias. Para acceder al modo seguro, lo habitual es mantener pulsado el botón de encendido, hacer una pulsación larga sobre la opción Apagar y confirmar el reinicio en modo seguro (aunque el procedimiento puede variar según el fabricante). Una vez iniciado, basta con seguir la ruta Ajustes → Aplicaciones → MorganArg → Desinstalar.
El hallazgo de PromptSpy sitúa a Android ante una nueva era de amenazas inteligentes, donde los límites entre el malware tradicional y la IA generativa empiezan a difuminarse.