Malware financiero China–LATAM: cuatro casos y sus límites

Dos corpus documentales, sin certificar su independencia

El punto de partida fue el índice LATAM de 56 familias: 28 Android, 24 Windows y 4 PhaaS, en el corte del 17 de septiembre de 2026. El sitio distingue una actualización posterior a 67 familias, del 29 de septiembre. Este artículo no recalcula el cruce con ese segundo corte. La explicación de cobertura geográfica conserva ambas versiones y sus límites.

La comparación anterior utilizaba también un conjunto Atlas China de 31 registros, relacionado con CN, HK, MO y TW. La planilla interna del 22 de septiembre lo identifica como SIN_VERIF. Ese estado no demuestra que todos sus datos sean falsos, pero impide tratar su curaduría como una garantía ya auditada. Tampoco se acredita aquí la afirmación anterior de que los corpus procedían de dos equipos independientes.

Por eso, la unidad de lectura de este análisis es la afirmación respaldada por un informe concreto, no la fila del índice por sí sola. Se mantienen las fuentes y se distinguen los hechos del informe, las inferencias de su editor y los pendientes del proyecto. No se fusionan los corpus ni se presentan observaciones de terceros como telemetría propia.

Cuatro casos, pero no cuatro coincidencias demostradas

ToxicPanda: nexo regional documentado. El informe de Cleafy del 4 de noviembre de 2024 incluye a Perú en la distribución de dispositivos comprometidos: 3,4% de su muestra. La valoración de operadores probablemente de habla china pertenece al proveedor. No equivale a identificar su nacionalidad, una afiliación estatal o la proporción de infecciones de todo Perú. La referencia posterior a ToxicPanda 2.0 se conserva como otra versión, no como actualización automática de esos porcentajes.

PlayPraetor: evidencia regional distinta de la presencia en nuestro índice. Cleafy, 29 de julio de 2025, presenta a Perú entre sus objetivos y agrupa 12% de los dispositivos en las Américas. «Américas» no debe sustituirse por «LATAM». El texto previo del sitio reconoce que PlayPraetor no tenía ficha en el índice LATAM de 56 familias: por tanto, no puede contarse como coincidencia confirmada entre ambos índices.

TgToxic: relación indirecta que exige separar nombres. Intel 471 retoma el análisis de ToxicPanda y su lista de aplicaciones bancarias europeas y latinoamericanas. No basta trasladar ese alcance a cualquier muestra o campaña llamada TgToxic. La relación técnica entre familias es una pista de investigación; la lista de objetivos, una señal de intención. Ninguna sustituye una observación de infecciones locales.

Darcula/Magic Cat: plataforma documentada, impacto regional pendiente. La investigación de mnemonic respalda la existencia del ecosistema estudiado. No respalda, en el texto consultado, la atribución a LATAM del reclamo de 884.000 tarjetas y 20.000 dominios que figuraba en la ficha interna. Esas cifras se conservan aquí únicamente para identificar el reclamo no verificado; no son métricas confirmadas por las fuentes citadas.

La comparación es útil precisamente porque no fuerza el mismo resultado en las cuatro filas. Dos referencias con información regional no convierten los otros casos en equivalentes. La ausencia de una ficha tampoco prueba ausencia de amenaza. Debe registrarse por separado qué afirma la fuente, qué contiene cada versión del índice y qué falta comprobar.

Comparar técnicas requiere revisar también las etiquetas

La versión anterior declaró 64 identificadores MITRE distintos en LATAM, 35 en China y 18 compartidos. También declaró 15 familias por corpus con T1417.002. Estos son conteos heredados y no recalculados para este artículo. No se recalculó la matriz de etiquetas ni se resolvió el estado SIN_VERIF de Atlas China; por ello no se usan para sostener una conclusión cuantitativa nueva.

Aunque los conteos se reprodujeran, una coincidencia de etiquetas no acreditaría transferencia de código, afiliación entre operadores o igual nivel de riesgo. La granularidad del informe y la decisión de quien asigna ATT&CK influyen en qué queda registrado. Conviene comparar evidencia de comportamiento y versión del etiquetado antes de interpretar una intersección.

El análisis de troyanos bancarios de Windows sirve como contraste metodológico entre familias, campañas y operadores. Es una lectura complementaria, no un vínculo técnico demostrado con los cuatro casos. Los criterios de citabilidad explican qué datos necesita una afirmación para reutilizarse con su alcance.

NFC: distinguir una clasificación de una historia de difusión

El texto anterior describía cinco entradas y cuatro nombres NFC en Atlas China —Ghost Tap, TX-NFC, SuperCard X y NFC-Ghost— frente a NGate, NFCMultiPay y DevilNFC dentro del frente Android de LATAM. Se conserva la descripción como antecedente de clasificación, no como deduplicación verificada de esos conjuntos.

El análisis de SuperCard X publicado por Cleafy en abril de 2025 describe una operación observada en Italia. El informe NFC Relay Goes Local de mayo de 2026 trata desarrollos locales y posibles señales de asistencia de IA. Son fuentes para estudiar mecanismos y propuestas de evolución; no demuestran por sí solas que todos los nombres de la lista compartan código o infraestructura.

Una secuencia de fechas de publicación tampoco prueba una ruta causal de difusión. «De habla china», «hispanohablante» y «portugués brasileño» deben conservarse como valoraciones lingüísticas con la confianza que les atribuye su fuente, no transformarse en pasaportes o atribución estatal. La posible categoría NFC del Atlas es una decisión editorial todavía pendiente.

Qué falta para convertir el cruce en un resultado reproducible

El siguiente paso es recuperar las versiones exactas de ambos índices, sus criterios de inclusión, sus estados de verificación y la matriz familia–técnica. Después corresponde reproducir la deduplicación y registrar la evidencia de cada relación regional. El resultado puede confirmar, reducir o descartar el cruce anterior; no se fija de antemano.

PlayPraetor y TgToxic permanecen como candidatos a revisión de fichas, no como altas efectuadas. El posible addendum del nexo y la revisión de taxonomía NFC tampoco se presentan como publicados. Cada cambio requiere su propia procedencia y evaluación, siguiendo las notas de método del proyecto.

La conclusión actual es más acotada: hay fuentes útiles para examinar relaciones entre malware financiero, operadores descritos por idioma y objetivos regionales. No hay base en las fuentes citadas para certificar cuatro coincidencias de índices, dos equipos independientes o prevalencia comparable. Mantener visibles esos límites mejora la utilidad del análisis sin inventar precisión.