PromptSpy: el primer malware Android que usa IA generativa para controlar la interfaz y espiar en tiempo real

Investigadores de seguridad han identificado lo que parece ser la primera familia de malware para Android que incorpora de forma directa un modelo de inteligencia generativa en su flujo de ejecución. La pieza, bautizada por los analistas como PromptSpy, fue descrita por el equipo de ESET tras analizar muestras que aparecieron en servicios públicos de análisis de malware. La novedad no es que el código use IA para generar correos de phishing o contenido malicioso, sino que llama a un modelo de lenguaje en tiempo de ejecución para decidir qué acciones realizar sobre la interfaz del dispositivo infectado. Puedes consultar el informe técnico de ESET aquí: WeLiveSecurity / ESET.

El mecanismo que usa PromptSpy se apoya en el modelo Gemini de Google. El malware captura un volcado XML de la pantalla activa —un listado estructurado de los elementos UI visibles, sus etiquetas, tipos y coordenadas— y lo envía junto a un prompt al modelo. Gemini devuelve instrucciones en formato JSON que describen qué interacción realizar en pantalla para, por ejemplo, “bloquear” o “fijar” la aplicación en la vista de aplicaciones recientes. El malware ejecuta esas instrucciones mediante el servicio de Accesibilidad de Android, lee el nuevo estado de la pantalla y repite el bucle hasta que el modelo confirma que la aplicación quedó fijada.

Ese comportamiento tiene un objetivo claro: la persistencia. En muchos dispositivos Android existe una opción para “bloquear” o “anclar” una app en la lista de recientes; cuando una aplicación está fijada, el sistema es menos proclive a terminar su proceso durante la limpieza de memoria o cuando el usuario pulsa “Borrar todo”. Para una app legítima eso evita interrupciones de tareas en segundo plano; para un spyware como PromptSpy, garantiza que el código malicioso se mantenga vivo más tiempo. El problema para los autores de malware es que la implementación y la ubicación de esa función varían mucho entre marcas y versiones de Android, y ahí es donde la capacidad adaptativa del modelo de lenguaje resulta útil.

Más allá de la innovación en persistencia, el propósito principal de PromptSpy es el espionaje. Los análisis muestran que incluye un módulo VNC que, cuando la aplicación dispone de privilegios de Accesibilidad, permite a los atacantes ver y controlar la pantalla del dispositivo en tiempo real. Entre las capacidades que se le atribuyen están la captura de pantallas y vídeo del patrón de desbloqueo, la lectura y posible intercepción de PIN o contraseñas de la pantalla de bloqueo, la enumeración de aplicaciones instaladas y el registro de la aplicación en primer plano y gestos del usuario. Además, cuando la víctima intenta desinstalar la app o revocar permisos, el malware coloca rectángulos invisibles sobre botones del sistema para que, al pulsarlos, la acción legítima no se ejecute y la desinstalación quede bloqueada.

Desinstalar este tipo de amenazas puede necesitar pasos fuera de lo habitual: los investigadores explican que el reinicio en Modo Seguro de Android —que desactiva las aplicaciones de terceros— es la forma más fiable de eliminar la aplicación maliciosa si el mecanismo de bloqueo por superposición está activo. Al respecto, ESET no ha reportado hasta ahora detecciones amplias de PromptSpy en su telemetría, por lo que aún no está claro si se trata de una prueba de concepto avanzada o de un malware en circulación limitada. No obstante, el hecho de que algunas muestras pudieran haberse distribuido mediante dominios dedicados y una página que imitaba a un banco sugiere que podría haberse usado en ataques reales; puedes ver los informes de cobertura periodística en BleepingComputer: BleepingComputer y explorar análisis de muestras en servicios como VirusTotal.

Si se confirma que el uso de Gemini u otros LLM en tiempo de ejecución se generaliza, las consecuencias para la ciberseguridad móvil son relevantes. La IA aporta a los atacantes un “cerebro” capaz de interpretar interfaces heterogéneas y generar secuencias de interacción adaptadas a cada dispositivo, lo que reduce la dependencia de scripts rígidos que fallan ante pequeñas variaciones en la interfaz. Esa adaptabilidad facilita automatizar acciones que antes requerían ingeniería específica por cada fabricante, complicando la detección por firmas y el bloqueo por comportamiento estático.

La aparición de PromptSpy encaja en una tendencia más amplia: actores maliciosos y, según informes de grupos de inteligencia, incluso campañas patrocinadas por estados, están experimentando con modelos generativos para acelerar tareas desde el reconocimiento hasta movimientos posteriores al compromiso. En paralelo, los proveedores de plataformas y los equipos de seguridad deben mejorar la supervisión y los límites de abuso de APIs que permiten automatizar la interacción con la interfaz del usuario.

Para usuarios y administradores, las recomendaciones prácticas pasan por medidas ya conocidas pero efectivas: evitar instalar aplicaciones fuera de tiendas de confianza, revisar con cuidado qué apps solicitan permisos sensibles como Accesibilidad o la capacidad de dibujar sobre otras aplicaciones, mantener el sistema operativo y las apps actualizados, y usar protección adicional como Google Play Protect. Las guías oficiales de Android sobre cómo funcionan los servicios de accesibilidad y cómo gestionarlos son un buen punto de partida para entender los riesgos técnicos: Documentación oficial de Accessibility Services. Para consejos generales sobre seguridad en móviles puedes consultar recursos gubernamentales como los de CISA: CISA - Consejos de seguridad para dispositivos móviles, y la explicación de Google sobre cómo Play Protect ayuda a proteger dispostivos: Google Play Protect.

PromptSpy es, por ahora, un ejemplo temprano de cómo la inteligencia generativa puede incorporarse dentro del propio ciclo de ejecución de software malicioso, transformando técnicas ya conocidas (persistencia, control remoto, evasión de desinstalación) en procesos mucho más flexibles. La lección para usuarios y profesionales es clara: la llegada de modelos generativos al ecosistema de amenazas no hace nuevas las amenazas, pero sí las hace más difíciles de anticipar. La defensa exigirá mantener buenas prácticas básicas, fortalecer controles de permisos y mejorar la detección comportamental en los endpoints móviles.