ToxicPanda 2.0 amplía sus ataques a 349 apps en Android
La nueva versión de este troyano bancario para Android apunta a apps de banca, billeteras digitales y criptomonedas en 16 países. Según Zimperium, también suma 167 comandos remotos que permiten controlar el teléfono infectado.
ToxicPanda 2.0, una nueva versión de un troyano bancario, malware diseñado para robar dinero o credenciales, volvió a poner el foco sobre un problema muy concreto para usuarios de Android: una infección en el teléfono puede terminar en robo de claves y transacciones no autorizadas. Zimperium informó en un comunicado del 19 de agosto de 2026 que esta variante ya apunta a 349 aplicaciones de banca, finanzas, billeteras digitales y criptomonedas en 16 países, y que incorpora 167 comandos remotos para operar el dispositivo comprometido.
La amenaza no apareció de la nada. La familia original de ToxicPanda fue detectada en 2024, cuando investigadores de Cleafy la confundieron primero con TgToxic, otro troyano bancario ya conocido. Después de un análisis más fino, la firma concluyó que había diferencias suficientes como para seguirla como una familia separada. En esa investigación, Cleafy identificó más de 1.500 dispositivos infectados y dijo que el malware atacaba a 16 bancos de Europa y América Latina.
Lo que vuelve especialmente sensible a ToxicPanda es el tipo de acceso que busca. No se limita a estar presente en el teléfono: el objetivo es tomar control del equipo, capturar credenciales financieras e iniciar operaciones sin autorización del usuario. Zimperium describió a ToxicPanda 2.0 como una edición más grande y más capaz que la original, una evolución que amplía la superficie de ataque justo sobre las apps donde la gente guarda dinero o administra pagos.
El boletín de Onda Corta
Un nombre llamativo para un problema serio
El caso también muestra algo habitual en seguridad informática: el nombre con el que se conoce una amenaza no surge de un registro central ni de una autoridad única. La empresa o el equipo que descubre, analiza o publica primero sobre una familia de malware suele ponerle un nombre inicial. Eso deja margen para que el mismo código termine circulando con alias distintos, según quién lo estudie y cómo lo clasifique.
Microsoft reconoció ese problema de nombres cruzados. La compañía explicó que una misma familia puede recibir etiquetas diferentes según quién la haya detectado primero, cómo la presente la prensa o qué reglas internas use cada proveedor de seguridad. En la práctica, eso complica seguir un caso si una investigación habla de una amenaza con un nombre y otra usa un alias distinto para el mismo programa.
Para ordenar ese caos existe un esquema bastante extendido: la convención de CARO, sigla de Computer Antivirus Research Organization. Microsoft la usa para construir nombres técnicos que indican el tipo de amenaza, la plataforma, la familia y la variante. Un ejemplo citado en el informe es “Trojan:MSIL/Solorigate.BR!dha”. En ese formato, “Trojan” describe la función del software malicioso, “MSIL” la plataforma, “Solorigate” la familia y “BR” la variante.
El problema es que esos nombres precisos conviven con otros pensados para ser memorables. El artículo cita casos como Roaming Mantis, Olympic Destroyer y Bad Rabbit, además de Copybara, BingoMod y Medusa, todos asociados a campañas o familias de malware conocidas. Los nombres ayudan a que investigadores, periodistas y equipos de seguridad hablen de amenazas complejas sin recurrir a hashes o identificadores técnicos en cada mención, pero también pueden volver más digerible un riesgo que en realidad apunta directo a cuentas, tarjetas y billeteras.
En el caso de ToxicPanda, Cleafy dijo además que había indicios de que sus operadores hablaban chino, una pista que, según ese análisis, ayuda a explicar la parte “panda” del nombre. Para quien usa Android, el detalle más importante no es el branding del malware sino que la familia sigue activa y ahora aparece en una versión con más alcance sobre banca móvil, billeteras digitales y apps de criptomonedas.
El boletín de Onda Corta