FRAUDEBRASIL
Mirax: malware toma control de celulares Android para fraudes bancarias en Medio Oriente y África
Una investigación de Group-IB identificó miles de dispositivos Android comprometidos entre marzo y septiembre de 2026, con transferencias internacionales no autorizadas y pérdidas estimadas en millones de dólares.
El malware Mirax comprometió miles de teléfonos Android de clientes bancarios entre marzo y septiembre de 2026, según una investigación de Group-IB publicada el 5 de noviembre de 2026. La actividad se concentró en países de Medio Oriente, Turquía y África, con picos durante el período del Eid y a fines de julio.
Con el dispositivo bajo control remoto, el atacante puede abrir el aplicativo bancario ya instalado, aprovechar una sesión autenticada y registrar un nuevo beneficiario o iniciar una transferencia. Como la operación ocurre en el propio teléfono de la víctima, el equipo reconocido y los demás indicadores de contexto pueden parecer legítimos ante los sistemas antifraude.
Una actualización de febrero de 2026 incorporó un módulo SOCKS5 que permite usar el teléfono comprometido como proxy residencial. Así, el tráfico se encamina por la conexión de la víctima y una verificación de ubicación o de dirección de red puede coincidir con el entorno esperado por la entidad financiera.
Group-IB identificó transferencias internacionales no autorizadas y estimó pérdidas en la casa de los millones de dólares a partir de su telemetría y de casos confirmados por bancos afectados. La propia firma aclara que no se trata de un balance definitivo.
Cómo ocurrió
- Confirmado
- MiraxMalware para AndroidConfirmado.
- Celular infectadoMiles de equipos comprometidosConfirmado.
- Sesión autenticadaAbre la app bancaria de la víctimaConfirmado.
- Proxy SOCKS5Tráfico sale por la conexión de la víctimaConfirmado.
- TransferenciaNuevo beneficiario y envío no autorizadoConfirmado.
- Bancos afectadosClientes en Medio Oriente, Turquía y ÁfricaConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Group-IB documentó la campaña de malware Mirax contra dispositivos Android de clientes bancarios.
- La investigación se publicó el 5 de noviembre de 2026 y abarca infecciones entre marzo y septiembre de ese año.
- La firma identificó transferencias internacionales no autorizadas vinculadas a la actividad.
- Bancos afectados confirmaron casos incluidos en la estimación de pérdidas.
- La actualización de febrero de 2026 del malware incluyó un módulo SOCKS5 para usar el teléfono como proxy residencial.
SIN VERIFICAR O ABIERTO
- El monto exacto de las pérdidas no está determinado: la cifra de millones de dólares es una estimación de Group-IB.
- Pueden existir víctimas que no reportaron el perjuicio e infecciones fuera de la visibilidad de los investigadores, lo que elevaría el total.
- No se detalló qué bancos ni cuántos clientes resultaron afectados en cada país.
Contexto
La campaña se concentró en países de Medio Oriente, Turquía y África, con picos de actividad durante el período del Eid y a fines de julio de 2026. La distribución geográfica sugiere una operación dirigida a mercados donde el uso de aplicaciones bancarias móviles está extendido.
El caso ilustra un desplazamiento del fraude bancario: ya no depende solo de capturar una contraseña, sino de operar dentro del dispositivo de la víctima para sortear controles basados en el reconocimiento del equipo y la ubicación. La inclusión del módulo SOCKS5 refuerza esa estrategia al hacer que el tráfico salga por la conexión residencial de la víctima.
Para Group-IB, la confianza depositada exclusivamente en el origen de la transacción resulta insuficiente frente a este tipo de abuso, y la detección debe incorporar el comportamiento de la sesión y señales de control remoto.
Qué hacer
- Revisar apps instaladas Verificar en el teléfono si hay aplicaciones desconocidas o permisos de accesibilidad otorgados a servicios que no se reconocen, y desinstalarlas.
- Controlar movimientos bancarios Revisar con frecuencia las transferencias y los beneficiarios registrados en la cuenta, y reportar de inmediato cualquier operación que no se reconozca.
- Desconfiar de mensajes con enlaces Evitar instalar aplicaciones o abrir enlaces recibidos por mensajería que invoquen supuestos avisos del banco o del incidente.
- Reforzar la verificación en el banco Las entidades deberían sumar controles de comportamiento de sesión y señales de control remoto, además del reconocimiento del dispositivo y la ubicación.
- Actualizar el sistema Mantener Android y las aplicaciones bancarias actualizadas, y usar solo tiendas oficiales para descargar software.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
