Llegó Herodotus, el malware que imita al Ser Humano.

El panorama de las amenazas móviles ha evolucionado hacia un nivel de sofisticación sin precedentes con la aparición de #Herodotus, un troyano bancario para Android que ha sido identificado en los últimos meses como una herramienta clave en los foros clandestinos de cibercrimen. Operando bajo el modelo de #Malware-as-a-Service (#MaaS) y distribuido por el actor #K1R0, #Herodotus representa un desafío directo a los modernos sistemas antifraude, ya que está diseñado para realizar ataques de “toma de control del dispositivo” (Device-Takeover) imitando el comportamiento humano. Este informe tecnológico detalla su mecanismo de infección, su innovador modus operandi para eludir la detección y las capacidades de espionaje que lo convierten en una amenaza global.

1. Mecanismo de Infección y Despliegue

Herodotus no se infiltra a través de la tienda oficial de Google Play, sino que utiliza técnicas de ingeniería social para engañar al usuario:

Vector Principal: SMiShing: El método de propagación más común son las campañas de #SMiShing (Phishing por SMS). La víctima recibe un mensaje de texto engañoso que la incita a hacer clic en un enlace malicioso.
La Aplicación Engañosa (Dropper): El enlace dirige a la descarga de una aplicación maliciosa (dropper) que se disfraza de herramientas bancarias confiables o módulos de seguridad, como se ha observado en campañas activas en Italia y Brasil (donde se ha mimetizado con apps como “Banca Sicura“).
Abuso de Servicios de Accesibilidad: Tras la instalación, Herodotus explota los Servicios de Accesibilidad de Android, una función diseñada para ayudar a usuarios con discapacidades. El malware oculta la concesión de estos permisos cruciales tras pantallas de “carga” falsas, logrando así obtener un control completo sobre el dispositivo, incluso en versiones recientes como #Android 13+.

2. La Innovación Disruptiva: Humanización del Fraude

La característica que distingue a #Herodotus y lo sitúa a la vanguardia de los troyanos bancarios es su capacidad para “humanizar” las transacciones fraudulentas para eludir la detección biométrica y los sistemas antifraude basados en el comportamiento.

Evitando la Detección de Bots: Los sistemas antifraude avanzados buscan patrones de velocidad no naturales, como el pegado instantáneo de grandes bloques de texto o la secuencia ultrarrápida de clics, típicos de los scripts automatizados (bots).
Simulación de Escritura Humana: Herodotus evita esta detección. Cuando el atacante introduce credenciales o detalles de una transferencia de forma remota, el malware divide el texto en caracteres individuales y los introduce en los campos de formulario a intervalos aleatorios, que varían entre 300 y 3000 milisegundos. Esta demora y aleatoriedad replican la velocidad de escritura irregular de una persona real. Esta técnica desafía directamente a la biometría conductual, que analiza ritmos de tecleo y eventos táctiles para identificar actividades sospechosas.

3. Capacidades de Toma de Control del Dispositivo

Una vez que #Herodotus obtiene el control total a través de los servicios de accesibilidad, sus capacidades de espionaje y fraude son extensas:

Ataques de Superposición (#Overlay Attacks): Muestra pantallas de inicio de sesión falsas sobre las aplicaciones bancarias legítimas cuando la víctima las abre, robando así las credenciales de acceso.
Intercepción de 2FA: Está diseñado para interceptar mensajes SMS, lo que le permite capturar códigos de autenticación de dos factores (#2FA) o de un solo uso (#OTP), saltándose una capa de seguridad crítica.
Control Remoto Completo: Permite al atacante realizar cualquier acción en el dispositivo de forma remota, incluyendo:
- Hacer clic en elementos o coordenadas específicas.
- Realizar gestos de deslizamiento (#swipes).
- Inyectar texto (con la simulación humana ya descrita).
- Capturar el PIN o patrón de desbloqueo de la pantalla.
Espionaje Silencioso: Puede registrar toda la actividad mostrada en la pantalla (Accessibility Logging) y mantener un “código de bloqueo” opaco que solo el operador ve de forma semitransparente, ocultando sus actividades fraudulentas mientras la víctima cree que la aplicación simplemente está cargando.

4. Expansión y Contexto Global

Aunque fue detectado inicialmente en foros clandestinos en septiembre de 2025 y sus campañas activas se centraron primero en Brasil e Italia, #Herodotus ya ha mostrado una rápida expansión global, con códigos de superposición dirigidos a bancos y plataformas de criptomonedas en Estados Unidos, Reino Unido, Turquía y Polonia. Este rápido alcance subraya la eficiencia del modelo MaaS, donde las amenazas se diseñan para ser rentables y fáciles de desplegar en múltiples jurisdicciones.

Este sofisticado #malware subraya la necesidad de que los usuarios mantengan una defensa en capas, priorizando la educación, la cautela extrema ante mensajes de texto con enlaces, y el uso de soluciones de seguridad móvil actualizadas. Sigan las recomendaciones.

¡Con gusto! Dada tu experiencia como psicólogo forense y tu compromiso con la seguridad, las siguientes recomendaciones se centran tanto en la prevención técnica como en la conciencia del comportamiento (smishing), que es el vector de ataque principal de Herodotus y otros troyanos bancarios.

🔒 Consejos Prácticos para Blindar tu Android contra Herodotus

1. Atención Crítica a la Fuente de las Aplicaciones

El 99% de las infecciones por Herodotus y malware similar provienen de descargas engañosas fuera de la tienda oficial.

⚠️ Evita las Descargas de Terceros: Nunca instales archivos APK directamente desde mensajes de texto (SMS), correos electrónicos o sitios web desconocidos. Herodotus se disfraza de “módulo de seguridad” o actualización urgente.
Utiliza Google Play Store: Limítate siempre a descargar aplicaciones desde la tienda oficial de Google Play, ya que cuenta con el filtro Google Play Protect (ver punto 4).
Verifica el Desarrollador: Incluso en Play Store, revisa siempre el nombre del desarrollador, las valoraciones, y el número de descargas de la aplicación antes de instalarla.

2. Máxima Cautela con la Ingeniería Social (SMiShing)

El ataque comienza engañando al usuario a través de SMS.

No Confíes en Enlaces Urgentes: Desconfía de cualquier mensaje de texto (SMS) o correo electrónico que te pida urgentemente hacer clic en un enlace para “actualizar”, “verificar” o “solucionar un problema de seguridad” de tu banco o servicio conocido.
- Regla de Oro: Si tienes dudas, nunca hagas clic en el enlace. En su lugar, abre manualmente la aplicación o el sitio web oficial de tu banco en el navegador.
Nunca Compartas Datos Sensibles: Ninguna entidad legítima (banco, Google, etc.) te pedirá contraseñas, códigos de autenticación (Token o 2FA) o datos completos de tarjetas por mensaje.

3. Gestión Rigurosa de Permisos

Herodotus se vuelve peligroso al abusar de los permisos de accesibilidad.

Rechaza la Accesibilidad Innecesaria: Sé extremadamente cauteloso al otorgar permisos de Servicios de Accesibilidad a cualquier aplicación que no sea esencialmente de asistencia. Un troyano bancario utiliza este permiso para leer tu pantalla, realizar clics y escribir por ti.
Audita los Permisos: Revisa periódicamente en Ajustes > Aplicaciones > Permisos qué aplicaciones tienen acceso a SMS, cámara, micrófono o servicios de accesibilidad, y revoca el permiso a aquellas que no lo necesiten para su funcionamiento.

4. Fortalecimiento Técnico del Dispositivo

Mantén tu Sistema Actualizado: Instala siempre las últimas actualizaciones del sistema operativo Android y los parches de seguridad de Google Play. Las actualizaciones a menudo corrigen vulnerabilidades que el malware explota.
Verifica Google Play Protect: Asegúrate de que Google Play Protect esté activado en tu Play Store. Esta herramienta escanea las aplicaciones instaladas en busca de malware.
Usa un Antivirus Móvil: Considera instalar una aplicación de seguridad móvil de una marca reconocida para obtener una capa adicional de defensa y escaneo en tiempo real.
Copia de Seguridad: Realiza copias de seguridad de tus datos importantes de forma periódica.

5. Medidas Adicionales de Seguridad Bancaria

Doble Factor de Autenticación (2FA): Activa el 2FA en todas tus cuentas importantes (bancos, correo, redes sociales). Prioriza el uso de aplicaciones de autenticación (como Google Authenticator) sobre la recepción de códigos por SMS, ya que #Herodotus puede interceptar los SMS.
Biometría: Si tu banco lo permite, utiliza la huella dactilar o el reconocimiento facial para la autenticación en la app bancaria.
Cierra Sesión: Acostúmbrate a cerrar la sesión de tus aplicaciones bancarias al terminar de utilizarlas.
Redes Wi-Fi Públicas: Evita acceder a tu home banking o realizar transacciones importantes mientras estás conectado a una red Wi-Fi pública (cafés, aeropuertos). Si debes hacerlo, utiliza una VPN confiable.

Aplicando estas prácticas, especialmente la cautela ante los mensajes SMS y la restricción de permisos de accesibilidad, reducirás drásticamente el riesgo de infección por este tipo de malware.