El troyano bancario Android RedHook acaba de dar un paso más. En un análisis publicado en julio de 2026, los investigadores describen una nueva versión del malware capaz de secuestrar la depuración inalámbrica de Android, una función reservada al desarrollo, para concederse por sí mismo privilegios de nivel sistema. Y todo ello sin explotar ninguna vulnerabilidad ni rootear el dispositivo.
Una infección que empieza con un mensaje de confianza
El punto de entrada de RedHook no ha cambiado desde su descubrimiento inicial en julio de 2025. El ataque arranca con una llamada o un mensaje que suplanta a un banco o a una administración. La víctima es dirigida a un sitio falso que imita Google Play y la invita a instalar una aplicación. Ese APK se descarga fuera de la tienda oficial, alojado a menudo en infraestructuras con reputación de fiables, como repositorios de GitHub o espacios de almacenamiento en la nube, lo que da credibilidad a la distribución.
Una vez abierta la aplicación, un tutorial falso guía al usuario para que conceda el permiso de accesibilidad. Esa autorización otorga a una aplicación un control amplio sobre la interfaz del dispositivo. Es la base sobre la que se apoya todo el resto del ataque.
La depuración inalámbrica convertida en acceso de sistema
Aquí es donde destaca la nueva versión del malware. RedHook se apoya en la accesibilidad para activar por sí mismo las opciones de desarrollador y, después, la depuración inalámbrica (Wireless ADB).
ADB (Android Debug Bridge) es una herramienta que normalmente permite a un ordenador controlar un dispositivo Android por línea de comandos, para depurar una aplicación o instalar software. La depuración inalámbrica extiende esa posibilidad a la red, sin cable USB. En ambos casos, el uso previsto supone una máquina externa que actúa como anfitrión.
El malware sortea esa condición. Ejecuta directamente en el teléfono el componente que normalmente corre en el ordenador y se conecta a él mediante la dirección de red interna del dispositivo. El terminal se convierte así en su propio anfitrión, sin PC ni cable. RedHook obtiene entonces un shell privilegiado, un nivel de acceso muy superior al de una aplicación corriente. Con esos privilegios puede instalar y desinstalar aplicaciones, modificar ajustes protegidos del sistema y concederse permisos sensibles, todo ello sin ningún cuadro de diálogo de confirmación. Para lograrlo reutiliza el código de un framework de código abierto, concebido inicialmente para ofrecer esas mismas capacidades de forma legítima.
Aquí no se explota ninguna vulnerabilidad: solo una herramienta de depuración legítima transformada en vía de acceso a los permisos del sistema.
Un malware especialmente difícil de desalojar
RedHook combina ese acceso con un mecanismo de persistencia especialmente robusto. Dos de sus servicios funcionan en pareja y se reinician mutuamente, de modo que detener uno provoca de inmediato el arranque del otro. El malware mantiene además una actividad invisible de un píxel en la pantalla y reproduce un sonido silencioso, dos mecanismos que llevan al sistema a considerarlo un proceso prioritario que no debe interrumpirse. Tras reiniciar el teléfono, reactiva la depuración inalámbrica y recupera sus privilegios en unos segundos. Desinstalarlo resulta entonces muy difícil.
Sus capacidades son igual de amplias. Transmite la pantalla de la víctima en tiempo real, registra las pulsaciones de teclado, roba el código de bloqueo, intercepta los SMS y responde a un amplio conjunto de comandos controlados en remoto. Uno de ellos muestra una falsa ventana de verificación y activa la cámara frontal para capturar el rostro del usuario.
La accesibilidad, vía de entrada recurrente de los troyanos bancarios
RedHook no es un caso aislado. Las aplicaciones son el primer vector de ataque en móvil, con el 67 % de las amenazas detectadas y una media de 15 aplicaciones maliciosas por dispositivo.
El abuso de la accesibilidad como punto de partida es un patrón que se repite en numerosos malwares. El troyano Herodotus lo usa para tomar el control de las sesiones bancarias en tiempo real, y PromptSpy para desplegar un módulo de control remoto. En todos los casos, la misma autorización sirve de trampolín.
RedHook lleva la lógica un paso más allá y la utiliza para alcanzar los permisos del sistema.
Cómo protege Pradeo frente a RedHook
Ante este tipo de amenaza, Pradeo Mobile Threat Defense actúa en varios niveles:
- Toda aplicación que solicite un permiso crítico como la accesibilidad se señala de inmediato como potencialmente maliciosa.
- La solución detecta las aplicaciones instaladas fuera de las tiendas oficiales, precisamente el modo de distribución de RedHook.
- El antiphishing bloquea los enlaces fraudulentos enviados por SMS y corta el ataque en su punto de entrada.
- La solución vigila las configuraciones de riesgo en todo el parque. La activación anómala de las opciones de desarrollador y de la depuración inalámbrica se señala automáticamente.
