La nube como refugio del malware campaña polimórfica en Hugging Face roba credenciales bancarias

Los servicios en la nube y las plataformas de código abierto pensadas para compartir modelos e investigaciones están siendo reutilizados por delincuentes digitales como depósitos de malware, y el último ejemplo lo ha descubierto la firma rumana Bitdefender: una campaña que utiliza la plataforma Hugging Face para alojar miles de variantes de un APK diseñado para robar credenciales de pagos y banca móvil.

El ataque se inicia con una app cebada que los usuarios instalan tras pulsar anuncios alarmistas que indican que el dispositivo está comprometido. Esa aplicación tramposa —con nombre visible en muchas muestras como TrustBastion— se hace pasar por una herramienta de seguridad y obliga al usuario a aceptar una “actualización” que reproduce visualmente elementos de Google Play para no despertar sospechas. En vez de incluir el código malicioso en el propio instalador, el dropper contacta a un servidor de control que devuelve una redirección hacia un repositorio alojado en Hugging Face. Desde allí se descarga el payload final a través de la CDN de la plataforma.

El truco técnico que usan los atacantes es especialmente efectivo: en lugar de servir un binario estático, el operador aplica polymorfismo a nivel de servidor, generando nuevas variantes del APK cada pocos minutos para evitar firmas y detección por análisis estático. Bitdefender documentó que, en poco tiempo, el repositorio había acumulado miles de commits y que, tras ser retirado, la operación reapareció bajo otro nombre y con nuevos iconos, manteniendo el mismo núcleo malicioso. Más detalles técnicos y muestras están descritos por los investigadores en su informe original publicado por Bitdefender.

La carga final es un troyano de acceso remoto (RAT) que abusa de los Servicios de Accesibilidad de Android para ganar control avanzado sobre el dispositivo. Mediante ese permiso —presentado al usuario como algo necesario para “proteger” el teléfono— el malware puede superponer pantallas, capturar la imagen del contenido que se muestra, simular gestos, impedir desinstalaciones y ejecutar acciones que normalmente requieren interacción física.

Con esas capacidades, el software malicioso puede inyectar interfaces falsas encima de aplicaciones legítimas: los expertos observaron ventanas de phishing que imitaban pasarelas de pago y aplicaciones financieras populares, así como formularios diseñados para capturar el PIN de desbloqueo del teléfono. Toda la información robada se envía a los servidores de mando y control, que además mantienen la app “viva” mostrando contenido falso para que la víctima crea que la herramienta funciona correctamente.

Ante este tipo de abuso de plataformas de distribución, Hugging Face retiró los datasets implicados tras ser notificada por los investigadores, pero el episodio expone cómo servicios legítimos pueden convertirse en vectores para campañas sofisticadas cuando no se controla el uso malintencionado de los recursos. Para entender el problema con más contexto puede consultarse la web pública de Hugging Face en huggingface.co y la documentación técnica de los investigadores que llevaron a la remoción.

¿Qué riesgo supone esto para un usuario normal? Si instalas apps que no provienen de tiendas oficiales y, además, otorgas permisos potentes como Servicios de Accesibilidad, el riesgo sube drásticamente: el atacante puede ver y capturar tus interacciones con apps bancarias, suplantar pantallas de inicio de sesión y obtener credenciales o códigos de acceso. Además, la naturaleza persistente de estos RATs puede dificultar su eliminación hasta que no se actúe con cuidado.

Las recomendaciones prácticas no son novedosas, pero siguen siendo las más eficaces: evita la instalación de aplicaciones desde orígenes no verificados, revisa y cuestiona los permisos que solicita cualquier app—especialmente accesibilidad—, y no aceptes “actualizaciones” fuera de la tienda oficial. Google mantiene recursos con orientación sobre cómo proteger tu dispositivo y sobre Play Protect que pueden ayudarte a verificar apps y comportamientos sospechosos en Android, y es recomendable seguir esas guías: Centro de ayuda de Google Play y la documentación para desarrolladores sobre accesibilidad en developer.android.com.

Si sospechas que tu dispositivo ha sido comprometido por una app como esta, conviene actuar con rapidez pero con precaución: revocar los permisos de accesibilidad desde los ajustes antes de intentar desinstalar la app, usar el modo seguro si la eliminación directa falla, ejecutar un escaneo con soluciones de seguridad reconocidas y cambiar contraseñas y activar la autenticación de dos factores en servicios críticos. En casos de robo de credenciales financieras, contacta a tu entidad bancaria para notificar movimientos sospechosos y bloquear tarjetas o accesos.

Más allá de la medida individual, este incidente recuerda que las plataformas de colaboración y distribución necesitan mejorar las herramientas de detección de abuso: controles automáticos, revisión de contenidos ejecutables y mecanismos de respuesta más ágiles son clave para reducir la ventana de exposición. Los equipos de seguridad de Hugging Face actuaron tras la notificación de Bitdefender, pero la facilidad para recrear repositorios y cambiar nombres muestra que el desafío es persistente.

En un ecosistema móvil cada vez más central en la vida financiera y personal, la mejor defensa sigue siendo la combinación de precaución del usuario y una respuesta coordinada entre investigadores, plataformas y proveedores. Mantén tu sistema y aplicaciones actualizadas, instala solo desde fuentes confiables y no concedas permisos sensibles sin comprender por qué una app los necesita; con esos simples hábitos reduces mucho la superficie de ataque que buscan explotar campañas como la descrita por Bitdefender.