Malware Android en LATAM: Pix, NFC y PromptSpy

Qué mide el frente Android

La pregunta de esta nota no es cuántos teléfonos están infectados, sino qué técnicas documentan las fichas Android del Atlas. En el corte del 17 de septiembre de 2026, el índice reúne 28 familias, entre ellas PixPirate, BRATA, BrasDex, Godfather, Zanubis, Medusa, NGate, Copybara, Hook y Xenomorph.

El total corresponde a un inventario documental, no a una muestra de víctimas. La actualización del 29 de septiembre registra 31 familias Android dentro de 67 familias del conjunto. Para no mezclar versiones, esta lectura conserva el corte de 28 y presenta el posterior por separado. La cobertura por país y sus límites explica por qué ninguno de esos números mide prevalencia regional.

Patrones que se repiten

• Overlays: el análisis del corte histórico registra T1417.002 de MITRE ATT&CK Mobile en 15 de las 28 fichas. Es una frecuencia dentro de las fichas, no una tasa de ataques.
• Abuso de accesibilidad: las fuentes describen permisos utilizados para leer la interfaz, interceptar interacciones o automatizar transferencias. La nota no atribuye todas esas funciones a todas las familias.
• Portapapeles y claves Pix: el interés por datos copiados vinculados al pago se distingue de la captura de credenciales o del control de pantalla.
• Distribución fuera de tienda: aparecen APK distribuidos mediante mensajes, smishing o componentes de descarga. Esta observación no establece una ruta única de infección.
• Relay NFC: el subconjunto citado incluye NGate, NFCMultiPay y DevilNFC. No corresponde extender su mecanismo al conjunto completo de malware Android.

Por qué Pix

El contexto de pagos procede de una fuente diferente del inventario de malware: el Relatório de Gestão do Pix 2023-2025, citado en el artículo original. Los datos históricos que allí se reproducen son 79.800 millones de transacciones en 2025, un incremento del 25,7 % frente a 2024 y un valor superior a R$ 35 billones.

El corte citado también registra 313.339.328 transacciones el 5 de diciembre de 2025, 148 millones de personas físicas y 12 millones de empresas que habían utilizado Pix en diciembre de ese año, y más de 920 millones de claves. Estas cifras se presentan con su atribución y fecha original; no están actualizadas ni recalculadas a partir del PDF.

La interpretación editorial es que la escala del canal ayuda a entender su interés económico. No demuestra qué proporción de pagos fue fraudulenta. Tampoco el nombre de una familia establece un parentesco: PixPirate, PixBankBot, PixStealer y GoPix —esta última situada en Windows/PoS— requieren fuentes propias.

Pix por aproximación y NFC

El artículo original sitúa en junio de 2025 la incorporación formal del pago por aproximación al Reglamento del Pix: iniciar la operación acercando el teléfono a una terminal NFC. Ese contexto regulatorio se conserva con la atribución al informe del Banco Central, pendiente de su revisión documental específica.

Que exista Pix por aproximación y que el corpus incluya relay NFC no demuestra un ataque contra esa modalidad de Pix. Son hechos distintos. El cruce documental China–LATAM ofrece otra lectura con sus propias reservas; no se utiliza aquí para atribuir infraestructura ni para completar esa falta de evidencia.

PromptSpy: IA generativa y límites de observación

ESET, en su análisis publicado el 19 de febrero de 2026, describe PromptSpy como el primer malware Android conocido por ese equipo que utiliza IA generativa en su flujo de ejecución. Emplea Gemini para guiar la persistencia en aplicaciones recientes; incluye además acceso remoto VNC y mecanismos contra la desinstalación.

La precisión geográfica importa: ESET señala indicios de orientación hacia Argentina, pero declara que no había observado PromptSpy en su telemetría y contempla una posible prueba de concepto. El análisis no permite afirmar una ola de infecciones confirmadas en LATAM. Tampoco convierte todas sus funciones en capacidades basadas en IA.

Nombres y parentescos

Para normalizar nombres, utilice las fichas y la tabla de alias del Atlas. Las relaciones consignadas, como Hook/Ermac o Godfather/Anubis, se atribuyen a sus fuentes. Compartir una palabra, una plataforma o un objetivo financiero no basta para fusionar familias, campañas o responsables.

Nota de versión: las cifras de este análisis corresponden al corte del dataset vigente al momento de publicación; el Atlas se actualiza de forma continua.