Nueva amenaza para Android: un troyano roba los PIN directamente del teclado de aplicaciones

Una nueva variante de software malicioso para Android , denominada “Manic”, permite a los atacantes robar los PIN de los usuarios directamente desde el teclado de las aplicaciones , sin desplegar pantallas falsas ni alertar a las víctimas.

Así lo revela un informe de la empresa neerlandesa de seguridad ThreatFabric, que señala a este troyano como una amenaza inédita en el entorno de los dispositivos móviles .

Un troyano bancario y espía con doble función De acuerdo con el reporte, Manic combina las capacidades de un troyano bancario convencional con funciones de espionaje, fusionando dos tipos de amenazas que habitualmente operan por separado .

Este programa malicioso tiene como objetivo principal sustraer dinero de los usuarios y monitorear su actividad dentro del dispositivo.

La campaña detectada se concentra en Ucrania, aunque la lista de objetivos abarca bancos y aplicaciones de identificación electrónica en países como Alemania, Polonia, República Checa, Eslovaquia, Austria, Francia, España, Países Bajos, Estonia, Lituania y Reino Unido .

Además de entidades bancarias, la amenaza se dirige a servicios de pago, plataformas de “compra ahora, paga después”, sistemas de remesas, aplicaciones de criptomonedas y carteras, mensajería, navegadores, clientes de correo electrónico y aplicaciones estatales de identificación y autenticación.

En total, Manic supervisa 169 identificadores de paquete, lo que abarca una amplia gama de aplicaciones sensibles .

El rastreo de la infraestructura inicial se remonta a febrero de 2026, mientras que una versión rediseñada con mejoras en los controles anti-análisis fue lanzada en julio de este año.

Método de robo: una técnica invisible para el usuario A diferencia de los troyanos tradicionales, que suelen superponer una pantalla falsa sobre la aplicación bancaria, Manic emplea un método mucho más discreto.

Cuando el malware detecta un teclado numérico en una aplicación objetivo, coloca una superficie transparente sobre las teclas reales para registrar la posición del toque .

Al pulsar el usuario, el troyano registra la posición del toque y reproduce la acción mediante los servicios de accesibilidad de Android.

Así, la aplicación recibe el PIN o la clave como si hubiera sido introducida normalmente, mientras la información llega a manos del atacante sin que se muestre ninguna señal sospechosa en pantalla.

El informe señala que esta estrategia explota la confianza del usuario, ya que evita los indicios visuales que suelen alertar sobre la presencia de malware.