Cómo deshacerse del troyano bancario Hirudo para Android

¿Qué tipo de malware es Hirudo?

Hirudo es un troyano bancario para Android con capacidades de acceso remoto. Según una investigación publicada por el equipo de inteligencia de amenazas móviles de ThreatFabric, combina el robo de credenciales en el propio dispositivo con el control remoto en tiempo real del dispositivo infectado. Hirudo se distribuye a través de aplicaciones señuelo disfrazadas de aplicaciones de compras, de vídeos para adultos o de series cortas, y puede sustituir las aplicaciones bancarias legítimas por copias modificadas que desactivan desde dentro las propias comprobaciones de seguridad de los bancos.

Descripción general del malware Hirudo

Hirudo se basa en un diseño de dos etapas. La primera etapa es un dropper, empaquetado como una aplicación señuelo en categorías como compras (Shopora), vídeos para adultos (1V1 X) o dramas cortos (ZoyaTV, KoiShort). Estas aplicaciones cargan contenido real a través de un WebView, por lo que la experiencia parece legítima y la víctima no tiene ningún motivo inmediato para sospechar.

Cuando se ejecuta el dropper, comprueba discretamente si la carga útil de Hirudo ya está instalada. Si no lo está, muestra un falso aviso de actualización dentro de la aplicación y ofrece instalar el APK de la carga útil como una segunda aplicación. Una de las variantes analizadas activa una VPN de tipo «agujero negro» durante la instalación, cortando el tráfico de Internet del dispositivo mientras la carga útil se despliega discretamente en segundo plano.

Una vez activa, la carga útil puede interceptar las compras dentro de la aplicación. Cuando el dropper inicia un pago, la carga útil muestra sobre él una página de pago falsa mediante un WebView transparente. La página lleva la imagen de marca del banco o monedero electrónico de la víctima y admite ocho idiomas. Cualquier PIN de pago que introduzca la víctima se captura y se envía a los operadores, mientras que al dropper se le devuelve un mensaje falsificado de pago realizado con éxito.

Además del fraude en el proceso de pago, Hirudo recopila credenciales de inicio de sesión bancario mediante avisos específicos para cada banco mientras el usuario escribe. Una superposición falsa de patrón a pantalla completa captura el patrón de desbloqueo del dispositivo y, en algunas versiones, la carga útil lee el PIN, la contraseña o el patrón introducidos en la pantalla de bloqueo real a través de los Servicios de Accesibilidad de Android. El malware permite ver la pantalla en directo mediante WebRTC y activa las cámaras frontal y trasera a petición.

Hirudo también intercepta mensajes SMS: analiza 90 días de historial en la primera ejecución y, a partir de ese momento, supervisa los remitentes de bancos y monederos configurados. Esto le permite robar contraseñas de un solo uso utilizadas en la autenticación de dos factores. El malware mantiene un registro de 42 aplicaciones financieras y dispone de sustitutos diseñados específicamente para ocho aplicaciones bancarias indonesias que abarcan siete bancos.

El proceso de sustitución de la aplicación bancaria comienza cuando Hirudo detecta una aplicación objetivo a través de Accesibilidad, verifica su certificado de firma y muestra un falso aviso de actualización. A continuación, abre el desinstalador de Android para la aplicación auténtica sin esperar la confirmación del usuario y descarga en paralelo el sustituto modificado. Dado que Android impide instalar como actualización una aplicación firmada de forma diferente, Hirudo debe eliminar primero la original.

El sustituto modificado conserva el nombre de paquete y la versión originales, pero está firmado con una clave pública de prueba de Android. Una sola línea inyectada en la clase Application de la aplicación carga un motor de hooking autónomo basado en YAHFA y Dobby, dos frameworks de código abierto para reemplazar métodos Java y enganchar funciones nativas. El motor solo se activa cuando está presente en el dispositivo un archivo desencadenante escrito por el RAT.

Con el motor ejecutándose dentro del propio proceso de la aplicación bancaria, los controles de seguridad de la aplicación se vuelven en su contra. El hook sustituye el certificado de firma auténtico para ocultar la firma con la clave de prueba, devuelve una lista vacía de servicios de Accesibilidad para que el servicio de control sea invisible y elimina el indicador que bloquea las capturas de pantalla, lo que permite ver y grabar la pantalla bancaria de forma remota.

Las solicitudes de Play Integrity de la aplicación modificada se retransmiten mediante HTTP sin cifrar a un servidor controlado por los operadores, en lugar de responderse localmente. El keybox de certificación que lleva el motor es uno filtrado públicamente, y ThreatFabric confirmó que al menos dos de sus certificados figuran como comprometidos en la lista de revocación de certificaciones de Google. Las comprobaciones de revocación del lado del servidor aún pueden detectar sus falsificaciones.

Los señuelos de Hirudo se distribuyen a través de Amazon CloudFront, con rutas independientes para cada familia de señuelos y un host dedicado para las aplicaciones bancarias modificadas. La campaña utiliza OpenInstall para la atribución de instalaciones y vincula la imagen de marca de los señuelos a grupos de campaña mediante ID de Meta Pixel. Un panel de procesamiento de APK utilizado para reconstruir los señuelos era accesible sin autenticación, con buckets de almacenamiento en la nube y credenciales expuestos.

Las sustituciones de aplicaciones bancarias se centran en ocho aplicaciones indonesias de siete bancos, pero el alcance configurado de Hirudo es más amplio. Los objetivos de credenciales mencionados en el código abarcan Indonesia, China, India, México, Marruecos y Tailandia, y la página de pago falsa incluida lleva la imagen de marca de bancos y monederos electrónicos de Malasia.

Un backend capturado en agosto de 2026 contenía miles de registros de credenciales y dispositivos repartidos entre grupos de campaña. Los registros incluían el historial de la pantalla de bloqueo y perfiles financieros con campos de ingresos mensuales y puntuación de riesgo. Los operadores anotaron algunas entradas como víctimas de phishing con éxito, lo que apunta a un flujo de trabajo estructurado para convertir los datos robados en transacciones fraudulentas.

En resumen, la presencia de malware como Hirudo en un dispositivo puede provocar múltiples infecciones del sistema, graves problemas de privacidad, importantes pérdidas económicas y robo de identidad.

Cabe mencionar que los desarrolladores de malware suelen mejorar su software y sus metodologías. Por lo tanto, posibles futuras versiones de Hirudo podrían tener funcionalidades y características adicionales o diferentes.

Ejemplos de troyanos bancarios para Android

Hirudo es un ejemplo notable de cómo los troyanos bancarios modernos para Android han evolucionado más allá de los simples ataques de superposición para incorporar técnicas de sustitución de aplicaciones y control remoto total del dispositivo. Otros ejemplos de troyanos bancarios para Android son RemControl, Rokarolla y OverlayPhantom.

Los programas maliciosos varían enormemente en diseño y finalidad. Ya busquen obtener beneficios económicos, robar datos personales o conceder a los delincuentes acceso remoto persistente a un dispositivo, todas estas amenazas deben eliminarse en cuanto se descubren.

¿Cómo se infiltró Hirudo en mi dispositivo?

Hirudo llega a sus víctimas a través de aplicaciones señuelo que parecen plataformas legítimas de compras, vídeos para adultos o dramas cortos. Estas aplicaciones se distribuyen mediante redes publicitarias y se sirven a través de Amazon CloudFront. ThreatFabric señaló que algunas rutas de descarga seguían activas en octubre de 2026.

Tras instalarse, la aplicación señuelo muestra un falso aviso de actualización dentro de la aplicación e instala la carga útil de Hirudo como una segunda aplicación. Los usuarios deben desconfiar de cualquier aplicación que solicite la instalación de paquetes adicionales fuera de la Google Play Store oficial.

En términos más generales, los ciberdelincuentes distribuyen malware a través de numerosos canales: mensajes de phishing, anuncios maliciosos, falsos avisos de actualización y tiendas de aplicaciones no oficiales. Mantenerse alerta ante solicitudes de instalación inesperadas es una de las medidas más eficaces que pueden adoptar los usuarios para evitar infecciones.

¿Cómo evitar la instalación de malware?

Descargue aplicaciones únicamente desde la Google Play Store oficial y sitios web de desarrolladores verificados. Lea siempre las opiniones de los usuarios y compruebe los permisos que solicita una aplicación antes de instalarla. Desconfíe especialmente de cualquier aplicación que le pida instalar software adicional tras su inicio, ya que es una táctica habitual del malware de tipo dropper.

Mantenga actualizados el sistema operativo Android y todas las aplicaciones instaladas, ya que las actualizaciones suelen incluir parches de seguridad que corrigen vulnerabilidades conocidas. Utilizar software de seguridad móvil de confianza y realizar análisis periódicos también reduce el riesgo. Evite hacer clic en enlaces de mensajes SMS, correos electrónicos o publicaciones en redes sociales no solicitados, ya que pueden conducir a páginas que distribuyen APK maliciosos.

Superposición falsa de pago de Hirudo, mostrada con la imagen de marca de Maybank, colocada de forma transparente sobre la propia pantalla de pedido del dropper para capturar los PIN de pago (fuente: ThreatFabric):

Menú rápido:

• Introducción
• ¿Cómo eliminar el historial de navegación del navegador web Chrome?
• ¿Cómo desactivar las notificaciones del navegador web Chrome?
• ¿Cómo restablecer el navegador web Chrome?
• ¿Cómo eliminar el historial de navegación del navegador web Firefox?
• ¿Cómo desactivar las notificaciones del navegador web Firefox?
• ¿Cómo restablecer el navegador web Firefox?
• ¿Cómo desinstalar aplicaciones potencialmente no deseadas y/o maliciosas?
• ¿Cómo iniciar el dispositivo Android en «Modo seguro»?
• ¿Cómo comprobar el consumo de batería de las distintas aplicaciones?
• ¿Cómo comprobar el consumo de datos de las distintas aplicaciones?
• ¿Cómo instalar las últimas actualizaciones de software?
• ¿Cómo restablecer el sistema a su estado predeterminado?
• ¿Cómo desactivar las aplicaciones que tienen privilegios de administrador?

Eliminar el historial de navegación del navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Toque «Borrar datos de navegación», seleccione la pestaña «AVANZADO», elija el intervalo de tiempo y los tipos de datos que desea eliminar y toque «Borrar datos».

[Volver al índice]

Desactivar las notificaciones del navegador web Chrome:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Configuración» en el menú desplegable que se abre.

Desplácese hacia abajo hasta ver la opción «Configuración de sitios» y tóquela. Desplácese hacia abajo hasta ver la opción «Notificaciones» y tóquela.

Busque los sitios web que muestran notificaciones del navegador, tóquelos y pulse «Borrar y restablecer». Esto eliminará los permisos concedidos a estos sitios web para mostrar notificaciones. Sin embargo, cuando vuelva a visitar el mismo sitio, es posible que le solicite el permiso de nuevo. Puede elegir si concede o no estos permisos (si decide rechazarlos, el sitio web pasará a la sección «Bloqueados» y ya no le pedirá el permiso).

[Volver al índice]

Restablecer el navegador web Chrome:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta encontrar la aplicación «Chrome», selecciónela y toque la opción «Almacenamiento».

Toque «ADMINISTRAR ALMACENAMIENTO», luego «BORRAR TODOS LOS DATOS» y confirme la acción tocando «ACEPTAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en él. Esto significa que se borrarán todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Eliminar el historial de navegación del navegador web Firefox:

Toque el botón «Menú» (tres puntos en la esquina superior derecha de la pantalla) y seleccione «Historial» en el menú desplegable que se abre.

Desplácese hacia abajo hasta ver «Limpiar datos privados» y tóquelo. Seleccione los tipos de datos que desea eliminar y toque «BORRAR DATOS».

[Volver al índice]

Desactivar las notificaciones del navegador web Firefox:

Visite el sitio web que muestra notificaciones del navegador, toque el icono que aparece a la izquierda de la barra de direcciones (el icono no será necesariamente un «Candado») y seleccione «Editar configuración del sitio».

En la ventana emergente que se abre, marque la opción «Notificaciones» y toque «BORRAR».

[Volver al índice]

Restablecer el navegador web Firefox:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta encontrar la aplicación «Firefox», selecciónela y toque la opción «Almacenamiento».

Toque «BORRAR DATOS» y confirme la acción tocando «ELIMINAR». Tenga en cuenta que restablecer el navegador eliminará todos los datos almacenados en él. Esto significa que se borrarán todos los inicios de sesión/contraseñas guardados, el historial de navegación, la configuración no predeterminada y otros datos. También tendrá que volver a iniciar sesión en todos los sitios web.

[Volver al índice]

Desinstalar aplicaciones potencialmente no deseadas y/o maliciosas:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Aplicaciones» y tóquelo.

Desplácese hacia abajo hasta ver una aplicación potencialmente no deseada y/o maliciosa, selecciónela y toque «Desinstalar». Si, por algún motivo, no puede eliminar la aplicación seleccionada (por ejemplo, aparece un mensaje de error), debería intentar utilizar el «Modo seguro».

[Volver al índice]

Iniciar el dispositivo Android en «Modo seguro»:

El «Modo seguro» del sistema operativo Android impide temporalmente la ejecución de todas las aplicaciones de terceros. Utilizar este modo es una buena forma de diagnosticar y resolver diversos problemas (por ejemplo, eliminar aplicaciones maliciosas que impiden a los usuarios hacerlo cuando el dispositivo funciona «normalmente»).

Pulse el botón de «Encendido» y manténgalo pulsado hasta que vea la pantalla «Apagar». Mantenga pulsado el icono «Apagar». Al cabo de unos segundos aparecerá la opción «Modo seguro» y podrá activarla reiniciando el dispositivo.

[Volver al índice]

Comprobar el consumo de batería de las distintas aplicaciones:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Mantenimiento del dispositivo» y tóquelo.

Toque «Batería» y compruebe el consumo de cada aplicación. Las aplicaciones legítimas/auténticas están diseñadas para consumir la menor energía posible con el fin de ofrecer la mejor experiencia de usuario y ahorrar batería. Por lo tanto, un consumo elevado de batería puede indicar que la aplicación es maliciosa.

[Volver al índice]

Comprobar el consumo de datos de las distintas aplicaciones:

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Conexiones» y tóquelo.

Desplácese hacia abajo hasta ver «Uso de datos» y seleccione esta opción. Al igual que con la batería, las aplicaciones legítimas/auténticas están diseñadas para minimizar al máximo el consumo de datos. Esto significa que un consumo de datos muy elevado puede indicar la presencia de una aplicación maliciosa. Tenga en cuenta que algunas aplicaciones maliciosas pueden estar diseñadas para funcionar solo cuando el dispositivo está conectado a una red inalámbrica. Por este motivo, debe comprobar tanto el consumo de datos móviles como el de Wi-Fi.

Si encuentra una aplicación que consume muchos datos aunque nunca la utilice, le recomendamos encarecidamente que la desinstale lo antes posible.

[Volver al índice]

Instalar las últimas actualizaciones de software:

Mantener el software actualizado es una buena práctica en lo que respecta a la seguridad del dispositivo. Los fabricantes de dispositivos publican continuamente diversos parches de seguridad y actualizaciones de Android para corregir errores y fallos que pueden aprovechar los ciberdelincuentes. Un sistema desactualizado es mucho más vulnerable, por lo que siempre debe asegurarse de que el software de su dispositivo esté actualizado.

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Actualización de software» y tóquelo.

Toque «Descargar actualizaciones manualmente» y compruebe si hay actualizaciones disponibles. Si las hay, instálelas de inmediato. También le recomendamos activar la opción «Descargar actualizaciones automáticamente»: permitirá que el sistema le avise cuando se publique una actualización y/o la instale automáticamente.

[Volver al índice]

Restablecer el sistema a su estado predeterminado:

Realizar un «Restablecimiento de fábrica» es una buena forma de eliminar todas las aplicaciones no deseadas, restaurar la configuración predeterminada del sistema y limpiar el dispositivo en general. Sin embargo, debe tener en cuenta que se eliminarán todos los datos del dispositivo, incluidas fotos, archivos de vídeo/audio, números de teléfono (almacenados en el dispositivo, no en la tarjeta SIM), mensajes SMS, etc. En otras palabras, el dispositivo se restaurará a su estado original.

También puede restaurar la configuración básica del sistema y/o simplemente la configuración de red.

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Acerca del teléfono» y tóquelo.

Desplácese hacia abajo hasta ver «Restablecer» y tóquelo. Ahora elija la acción que desea realizar:
«Restablecer ajustes» - restaura todos los ajustes del sistema a sus valores predeterminados;
«Restablecer ajustes de red» - restaura todos los ajustes relacionados con la red a sus valores predeterminados;
«Restablecer datos de fábrica» - restablece todo el sistema y elimina por completo todos los datos almacenados;

[Volver al índice]

Desactivar las aplicaciones que tienen privilegios de administrador:

Si una aplicación maliciosa obtiene privilegios de administrador, puede dañar gravemente el sistema. Para mantener el dispositivo lo más seguro posible, debe comprobar siempre qué aplicaciones tienen dichos privilegios y desactivar las que no deberían tenerlos.

Vaya a «Ajustes», desplácese hacia abajo hasta ver «Pantalla de bloqueo y seguridad» y tóquelo.

Desplácese hacia abajo hasta ver «Otros ajustes de seguridad», tóquelo y, a continuación, toque «Aplicaciones de administración del dispositivo».

Identifique las aplicaciones que no deberían tener privilegios de administrador, tóquelas y, a continuación, toque «DESACTIVAR».

Preguntas frecuentes (FAQ)

Mi dispositivo Android está infectado con el malware Hirudo, ¿debo formatear mi dispositivo de almacenamiento para deshacerme de él?

Rara vez es necesario formatear para eliminar malware. Utilizar un software de seguridad móvil de confianza como Combo Cleaner debería ser suficiente para detectar y eliminar Hirudo de su dispositivo sin borrar sus datos.

¿Cuáles son los mayores problemas que puede causar el malware Hirudo?

Hirudo puede robar credenciales bancarias, interceptar contraseñas de un solo uso de los mensajes SMS y sustituir aplicaciones bancarias auténticas por copias modificadas que desactivan desde dentro los propios controles de seguridad de las aplicaciones.

También otorga a los operadores control remoto en directo del dispositivo, incluida la visualización de la pantalla y el acceso a la cámara. Las víctimas se enfrentan al riesgo de sufrir importantes pérdidas económicas, robo de identidad y graves violaciones de su privacidad.

¿Cuál es el propósito del malware Hirudo?

La mayoría de los ataques de malware tienen fines lucrativos, y Hirudo no es una excepción. Sus operadores mantienen un backend diseñado para convertir las credenciales y los datos de dispositivos robados en transacciones fraudulentas. Dicho esto, las motivaciones de los ciberdelincuentes también pueden incluir el hacktivismo, rencores personales u objetivos geopolíticos.

¿Cómo se infiltró el malware Hirudo en mi dispositivo Android?

Lo más probable es que Hirudo se haya instalado a través de una aplicación señuelo disfrazada de plataforma de compras, vídeos o dramas cortos. Tras su inicio, estas aplicaciones muestran un falso aviso de actualización dentro de la aplicación e instalan la carga útil de Hirudo como una segunda aplicación. Los usuarios también pueden encontrarlo a través de tiendas de aplicaciones no oficiales o anuncios maliciosos.

¿Me protegerá Combo Cleaner del malware?

Combo Cleaner es capaz de detectar y eliminar la gran mayoría de las infecciones de malware conocidas. Dado que las amenazas sofisticadas como Hirudo se integran profundamente en el dispositivo, se recomienda encarecidamente realizar un análisis completo del sistema para garantizar su eliminación total.