- América Latina concentra una elevada proporción de detecciones de malware en Android, con México y Brasil como principales focos.
- La combinación de alta dependencia del móvil, fragmentación y dispositivos desactualizados favorece la actividad de viejos exploits y nuevas variantes.
- Tres familias destacan en la región: CVE-2012-6636, Lotoor y Pandora, con impacto que también preocupa en Europa.
- Actualizar el sistema, evitar APK de origen dudoso y usar soluciones de seguridad fiables son pilares para reducir el riesgo.
El ecosistema móvil de América Latina se ha convertido en un objetivo prioritario para los ciberdelincuentes, con un foco muy claro en los dispositivos Android y el uso masivo del teléfono móvil como puerta de entrada al mundo digital y la necesidad de proteger el teléfono Android.
Según distintos análisis de ESET y otros equipos de investigación, la combinación de equipos antiguos, sistemas sin actualizar, canales de distribución poco seguros y la verificación de desarrolladores ha creado un entorno ideal para la circulación de malware. Aunque muchas de estas amenazas se concentran en países como México o Brasil, el impacto y las lecciones que dejan son relevantes también para España y el resto de Europa, donde las mismas familias de código aparecen en campañas dirigidas o en dispositivos importados.
Un caldo de cultivo perfecto para el malware en Android
Los especialistas en seguridad coinciden en que el problema no es solo la cantidad de incidentes, sino el contexto en el que se producen: en buena parte de América Latina el móvil es, para millones de personas, el único dispositivo de acceso a Internet. Conviven teléfonos recientes con terminales que llevan años sin recibir parches de seguridad, algo que no es ajeno tampoco al mercado europeo, donde aún circulan modelos muy antiguos y conviene saber cómo eliminar malware de mi Android.
Esta fragmentación del ecosistema Android, sumada al uso prolongado de versiones obsoletas del sistema operativo, permite que viejas vulnerabilidades sigan siendo explotables a día de hoy. Los investigadores de ESET remarcan que códigos maliciosos publicados hace más de una década continúan encontrando víctimas, sencillamente porque las aplicaciones y los dispositivos donde se ejecutan no se han actualizado y es necesario conocer cómo eliminar un malware en Android.
A este panorama se añaden canales de distribución que siguen resultando tremendamente eficaces para los atacantes. Las campañas de SMS con enlaces a descargas, mensajes en apps de mensajería y APK compartidas fuera de las tiendas oficiales son parte del día a día en muchos países de la región, por lo que conviene aprender cómo eliminar el malware de Android si se llega a instalar.
Los expertos alertan también de la presencia de aplicaciones maliciosas que consiguen colarse en marketplaces legítimos, tanto regionales como globales. En ocasiones se trata de apps con pocas reseñas, comentarios poco creíbles o actividad limitada del desarrollador, pero que aun así logran pasar los controles automáticos y llegar a miles de dispositivos; un fenómeno que recuerda a la proliferación de apps falsas detectada en campañas recientes.
Ese ecosistema híbrido, en el que se mezclan tiendas oficiales, repositorios alternativos y descargas directas, facilita la circulación de familias de malware ya conocidas y de variantes nuevas poco sofisticadas pero muy extendidas. Desde la perspectiva europea, la conclusión es clara: si el mismo software y los mismos dispositivos se utilizan a ambos lados del Atlántico, las amenazas que hoy golpean con fuerza a América Latina pueden terminar teniendo un impacto mayor en la Unión Europea si no se corrigen las mismas debilidades de base; ejemplos como Kaleidoscope ilustran este riesgo.
Tres familias de malware que dominan el ataque a Android
Los informes de ESET sobre amenazas móviles señalan que, dentro del amplio abanico de códigos maliciosos presentes en la región, hay tres familias que destacan por volumen y persistencia. Se trata de Trojan.Android/Exploit.CVE-2012-6636, Trojan.Android/Exploit.Lotoor y Trojan.Android/Pandora, cada una con características propias, pero todas apoyadas en la falta de actualizaciones y en prácticas de instalación poco seguras.
En España y otros países europeos, estas familias no son desconocidas: se han observado en análisis de muestras capturadas en campañas de phishing, en dispositivos Android TV importados y en aplicaciones descargadas desde repositorios de dudosa fiabilidad. Aunque la concentración de casos es menor que en América Latina, la base técnica de la amenaza es exactamente la misma.
Los investigadores remarcan que, pese a los años transcurridos desde la aparición de muchos de estos exploits, la disponibilidad de código público y herramientas automatizadas hace que sigan siendo una opción atractiva para actores maliciosos. Basta con que exista un porcentaje de usuarios con dispositivos antiguos o apps desatendidas para que el modelo de ataque resulte rentable.
CVE-2012-6636: una vulnerabilidad que se resiste a desaparecer
La primera de las familias que continúa generando detecciones en Android está ligada a la vulnerabilidad conocida como CVE-2012-6636. Este fallo afecta a aplicaciones que integran componentes WebView con configuraciones inseguras, especialmente aquellas compiladas con versiones de Android anteriores a la 4.2, aunque también puede mantenerse en apps que nunca han sido revisadas ni modernizadas.
En la práctica, el problema radica en que una página web maliciosa cargada dentro del WebView puede llegar a interactuar con el código de la propia aplicación de formas que no deberían ser posibles. Esto abre la puerta a la ejecución de acciones no autorizadas, la manipulación de datos internos o el abuso de permisos concedidos a la app.
Esta vulnerabilidad, pese a su antigüedad, sigue activa porque un número significativo de desarrolladores mantiene en circulación software heredado con bibliotecas antiguas. En América Latina, donde las actualizaciones de aplicaciones a menudo se retrasan o se abandonan, el problema es especialmente visible, pero en Europa también se han identificado apps en Google Play y en repositorios paralelos que aún presentan este comportamiento vulnerable.
La existencia de exploits públicos para CVE-2012-6636, incluidos módulos listos para usar integrados en frameworks como Metasploit, reduce la barrera de entrada para los atacantes. No es necesario ser un especialista para aprovechar el fallo: basta con adaptar un paquete ya preparado e integrarlo en una APK que se distribuya fuera de las tiendas oficiales o en apps que han dejado de recibir mantenimiento; por eso es clave saber quitar malware Android cuando se detecta.
Según datos recopilados por ESET en su último informe de seguridad, este exploit se mantuvo entre los más utilizados en ataques contra Android durante 2023 y 2024, con una presencia especialmente alta en América Latina, pero con incidentes dispersos detectados también en otras regiones. Esta realidad sirve como advertencia para el mercado europeo, donde la costumbre de mantener instaladas aplicaciones antiguas o abandonadas no es, ni mucho menos, algo inusual.
Lotoor: una década escalando privilegios en Android
La segunda familia destacada, Trojan.Android/Exploit.Lotoor, agrupa un conjunto de exploits diseñados para lograr escalamiento de privilegios y obtener acceso root en dispositivos Android. Se trata de técnicas que comenzaron a verse hace más de diez años y que se apoyan en vulnerabilidades presentes en versiones tempranas del sistema operativo.
Bajo el paraguas de Lotoor se encuentran distintos módulos que explotan errores en controladores, servicios de sistema y manejo de memoria detectados entre 2010 y 2013. Aprovechando esos fallos, los atacantes pueden ejecutar código con permisos muy superiores a los de una aplicación común, lo que les otorga un control amplio sobre el dispositivo comprometido.
Aunque muchas de las fallas que explota Lotoor fueron corregidas en versiones posteriores de Android, el gran número de terminales que nunca se actualizaron mantiene la amenaza viva, sobre todo en mercados donde los ciclos de renovación son largos y el soporte del fabricante se interrumpe pronto. Es justo el escenario que se observa en muchos países latinoamericanos, con modelos económicos que obligan a alargar la vida útil de los teléfonos todo lo posible.
Los investigadores llevan años detectando cómo módulos de Lotoor reaparecen dentro de herramientas maliciosas modernas. En algunos casos, se utilizan para desinstalar soluciones de seguridad presentes en el dispositivo, modificar parámetros internos o instalar cargas adicionales con mayor persistencia. No es casual que esta familia figure de manera recurrente entre las amenazas más activas en los informes anuales.
En Europa, donde el parque de dispositivos suele contar con una mayor proporción de modelos recientes, el impacto directo de Lotoor es menor, pero no inexistente. Hay segmentos de usuarios que continúan utilizando versiones muy antiguas de Android sin soporte, ya sea en teléfonos secundarios, terminales profesionales que no se han renovado o dispositivos especializados como terminales de cobro y equipos industriales. En todos esos casos, la presencia de exploits de este tipo sigue siendo un riesgo real; conviene saber eliminar un malware de Android si se ve actividad sospechosa.
Pandora: Mirai se cuela en Android TV Box y dispositivos conectados
La tercera familia protagonista es Trojan.Android/Pandora, un código malicioso vinculado a variantes de la conocida botnet Mirai adaptadas al ecosistema Android. A diferencia de los dos casos anteriores, centrados en vulnerabilidades históricas del sistema, aquí el foco está en dispositivos de entretenimiento y conectados al televisor.
Pandora se identificó inicialmente en 2023 en aplicaciones de streaming muy populares en América Latina, sobre todo en Android TV Box y sticks utilizados para acceder a contenido no oficial. Los atacantes distribuían APK que aparentaban ser apps de reproducción legítimas, pero que incorporaban un componente oculto capaz de sumar el dispositivo a una botnet.
Lo más preocupante es que se detectaron incluso modelos de TV Box con firmware manipulado e infectado desde fábrica. Esto significa que, nada más encender el aparato y conectarlo a Internet, el equipo pasaba a estar comprometido sin que el usuario instalase nada adicional. Esta práctica ha llamado la atención de las autoridades y de los analistas de seguridad, porque combina fraude en la cadena de suministro con malware distribuido a gran escala.
Una vez activo, Pandora establece comunicación con servidores de comando y control, desde los que recibe instrucciones para ejecutar acciones típicas de las botnets heredadas de Mirai. Entre ellas destacan los ataques distribuidos de denegación de servicio (DDoS), dirigidos contra servidores, servicios en la nube o infraestructuras críticas. El resultado es que dispositivos pensados para ver series o deportes terminan formando parte de operaciones criminales coordinadas.
En el contexto europeo, la preocupación recae en la importación de dispositivos Android TV de bajo coste, muchas veces sin certificaciones claras ni garantías de actualizaciones. Productos que llegan desde fabricantes con controles laxos pueden arrastrar el mismo tipo de infecciones detectadas en América Latina, replicando el modelo de ataque en hogares españoles o de otros países de la UE sin que el usuario sea consciente.
Un ecosistema móvil en evolución: de viejos exploits a técnicas emergentes
Los informes recientes de ESET sobre amenazas para Android ponen de manifiesto que el panorama no se limita a estas tres familias. Aunque CVE-2012-6636, Lotoor y Pandora concentran gran parte de las detecciones, el ecosistema móvil se encuentra en constante transformación, con la aparición de nuevas técnicas y variantes.
Junto a los exploits históricos, persisten troyanos bancarios muy focalizados, aplicaciones de préstamos fraudulentos que abusan de los permisos para acceder a la información personal del usuario y campañas que persiguen directamente robar credenciales de banca en línea. Estas amenazas, menos masivas pero muy especializadas, buscan un impacto económico directo, tanto en usuarios de América Latina como de Europa.
Los investigadores también han documentado ejemplos de malware capaz de clonar tarjetas mediante NFC, un fenómeno emergente que preocupa especialmente en regiones donde el pago contactless se ha extendido de forma muy rápida. Aunque muchas de estas pruebas de concepto aún no se han traducido en campañas a gran escala, el simple hecho de que existan muestra hasta qué punto el entorno móvil se ha convertido en un campo de pruebas para técnicas sofisticadas.
Todo ello se produce en un contexto global en el que la ciberseguridad gana peso estratégico. Ataques de ransomware que paralizan servicios críticos, incidentes en aeropuertos europeos relacionados con proveedores de software o filtraciones masivas de datos que parten de dispositivos comprometidos son recordatorios de que la seguridad de un móvil Android en manos de un usuario particular puede acabar teniendo consecuencias mucho más amplias; incluso casos de robo de códigos 2FA han sido documentados.
El denominador común de la mayoría de incidentes, ya sea en América Latina o en Europa, es la explotación del eslabón más débil. A veces es un proveedor mal asegurado; otras, una configuración por defecto nunca revisada; en muchos casos, la costumbre de instalar APK de procedencia dudosa o de ignorar los avisos de actualización. La parte técnica del ataque cambia, pero las condiciones que lo hacen posible se repiten una y otra vez; no hay que olvidar casos como los vídeos de YouTube con malware que sirven de vector.
Recomendaciones para usuarios en España, Europa y América Latina
Ante este escenario, las recomendaciones de ESET y de otros especialistas en seguridad resultan bastante claras y, además, aplicables tanto en América Latina como en España o el resto de Europa. El primer pilar es mantener el sistema operativo y las aplicaciones actualizados, evitando seguir utilizando versiones antiguas de Android si existe alguna ruta de actualización proporcionada por el fabricante o el operador.
Otra medida clave es instalar aplicaciones únicamente desde tiendas oficiales o fuentes verificadas. Aunque esto no ofrezca una protección absoluta —como se ha visto con apps maliciosas que han superado los filtros— sí reduce de manera significativa la probabilidad de caer en trampas evidentes. En cualquier caso, se recomienda revisar la actividad del desarrollador, el número y el contenido real de las reseñas y desconfiar de aplicaciones con muy pocos comentarios o descripciones poco claras.
Los expertos insisten además en evitar la instalación de APK procedentes de enlaces en SMS, redes sociales o foros, incluso si prometen funciones “premium”, versiones gratuitas de servicios de pago o contenido exclusivo. La experiencia en América Latina muestra que este tipo de oferta suele ser el gancho perfecto para introducir troyanos, exploits reempaquetados o componentes de botnet como Pandora.
Revisar los permisos que solicita cada aplicación es otra costumbre que, aunque pueda parecer pesada, marca la diferencia. Una app de linterna que pide acceso a los contactos o un reproductor de vídeo que solicita permisos para gestionar mensajes SMS son ejemplos de señales de alerta que conviene no pasar por alto. En Europa, los marcos regulatorios de privacidad son más estrictos, pero el usuario sigue siendo la última línea de defensa.
Por último, resulta fundamental contar con soluciones de seguridad confiables capaces de detectar exploits, troyanos y comportamientos anómalos. Esto implica no desactivar las protecciones integradas del sistema ni permitir la instalación de apps de orígenes desconocidos sin un motivo justificado. Desconfiar de mensajes, anuncios o enlaces que prometen accesos rápidos, descuentos espectaculares o ventajas poco creíbles sigue siendo un consejo básico, pero necesario.
La fotografía actual de la ciberseguridad en Android muestra que América Latina actúa como un espejo adelantado de problemas que pueden propagarse con facilidad a otras regiones, incluida Europa. Cuando se combinan dispositivos desactualizados, canales de distribución inseguros y una presión creciente de actores maliciosos, viejos exploits como CVE-2012-6636, familias persistentes como Lotoor y botnets tipo Pandora encuentran un terreno fértil. Tomarse en serio las actualizaciones, extremar las precauciones con las APK y adoptar soluciones de protección fiables no es solo una recomendación técnica: es una forma práctica de reducir, en el día a día, el margen de maniobra del malware en Android.
