Manic, Grandoreiro y ToxicPanda 2.0 amplían sus campañas contra usuarios y entidades financieras

22 de agosto de 2026. Empresas de ciberseguridad han informado sobre campañas activas y nuevas capacidades de los troyanos bancarios Manic, Grandoreiro y ToxicPanda 2.0, utilizados para robar credenciales, extraer datos y facilitar el fraude financiero.

ThreatFabric describe Manic como un malware para Android que combina funciones de troyano bancario y spyware. Se ha empleado principalmente contra Ucrania, incluidos bancos, servicios gubernamentales y aplicaciones de mensajería, aunque también ha afectado a entidades financieras rusas y europeas, servicios globales de criptomonedas y fintech, y aplicaciones de mensajería orientadas al ámbito militar. El malware puede registrar pulsaciones, mostrar pantallas de phishing y controlar remotamente los dispositivos. También monitoriza notificaciones, rastrea ubicaciones y recopila archivos. Su función de retransmisión mediante una malla sin conexión permite transferir datos por Wi-Fi Direct o Bluetooth cuando no hay acceso directo a la infraestructura de mando y control.

Acronis Threat Research Unit señala que Grandoreiro continúa activo, con especial foco en América Latina. Aunque también opera en Europa y Norteamérica, una campaña reciente concentró la mayoría de los ataques en México. Las muestras analizadas abusan de la aplicación legítima Duplicate Files Finder (DFF) para ejecutar código malicioso mediante DLL sideloading. El malware incorpora detección de sandboxes, comprobaciones de artefactos de máquinas virtuales, listas de procesos y análisis del entorno antes de contactar con la infraestructura C2, con el objetivo de dificultar su análisis.

Zimperium ha alertado de una versión actualizada de ToxicPanda, un troyano bancario para Android que afecta principalmente a Europa. ToxicPanda 2.0 admite 167 comandos remotos y apunta a casi 350 aplicaciones financieras, frente a las 16 de versiones anteriores. Su lista de objetivos abarca entidades financieras de 16 países, entre ellos Pakistán, Sudáfrica, México, Nigeria, India, Indonesia y Panamá. La variante incorpora además un mecanismo automatizado basado en clics para abusar de Android Wireless Debugging (ADB), elevar privilegios y obtener acceso a nivel de shell. Las muestras se distribuyen desde buckets alojados en Amazon AWS.

Fuente: SecurityWeek.