El primer malware para Android con IA generativa: todo sobre la amenaza PromptSpy

Como experto en tecnología con más de siete años de experiencia monitoreando las vulnerabilidades del ecosistema móvil, he documentado la constante evolución de las ciberamenazas. Sin embargo, el más reciente descubrimiento del equipo de investigación de ESET marca un punto de inflexión histórico en la seguridad informática. Por primera vez, se ha detectado un software malicioso para Android que integra la inteligencia artificial generativa como una pieza fundamental de su flujo de ejecución.

Esta nueva amenaza, bautizada por los investigadores como PromptSpy, representa un salto tecnológico preocupante para la protección de datos personales. Se trata del segundo caso documentado de código malicioso impulsado por inteligencia artificial descubierto por ESET, siguiendo los pasos de PromptLock, el primer ransomware basado en IA detectado en agosto de 2025.

Qué es PromptSpy y cómo utiliza la inteligencia artificial

El aspecto más innovador y peligroso de PromptSpy es su capacidad de adaptación. A diferencia del software malicioso tradicional que opera bajo parámetros fijos y preprogramados, esta amenaza utiliza Gemini, el avanzado modelo de lenguaje de Google, para interpretar en tiempo real los elementos visuales que aparecen en la pantalla del dispositivo comprometido.

Aunque la inteligencia artificial generativa se emplea únicamente en la porción del código destinada a lograr la persistencia del virus, su impacto es enorme. Gemini analiza la interfaz actual del sistema operativo y proporciona instrucciones precisas a PromptSpy sobre cómo ejecutar acciones evasivas. Su objetivo principal en esta fase es garantizar que la aplicación fraudulenta permanezca activa en la lista de aplicaciones recientes, evitando que el usuario o el propio sistema de limpieza de memoria la cierren o la eliminen con facilidad.

Adaptabilidad frente a múltiples sistemas operativos

Lukáš Štefanko, el investigador principal de ESET detrás de este descubrimiento, señala que la implementación de inteligencia artificial permite a los ciberdelincuentes adaptar el virus a prácticamente cualquier dispositivo, tamaño de pantalla, capa de personalización o versión del sistema operativo Android. Esta flexibilidad técnica elimina las barreras de compatibilidad tradicionales del código malicioso, ampliando masivamente el número de víctimas potenciales.

Objetivos principales de esta nueva ciberamenaza

El despliegue de inteligencia artificial es solo el medio para un fin mucho más perjudicial. El objetivo central de PromptSpy es implementar de forma silenciosa un módulo de Virtual Network Computing (VNC) en el teléfono de la víctima. Esta tecnología legítima, comúnmente utilizada para soporte técnico, es secuestrada para otorgar a los atacantes un acceso remoto total.

Una vez que el módulo VNC está activo, los operadores pueden visualizar la pantalla del usuario en tiempo real e interactuar con el dispositivo como si lo tuvieran en sus manos. El alcance de la amenaza es devastador: puede capturar datos confidenciales directamente desde la pantalla de bloqueo, recopilar información técnica del hardware, realizar capturas de pantalla de aplicaciones bancarias y grabar en video toda la actividad del usuario sin su consentimiento.

Distribución de la amenaza y el enfoque regional en Argentina

Los análisis de los vectores de distribución y las pistas de localización lingüística revelan que se trata de una campaña con claras motivaciones económicas. Actualmente, la amenaza está dirigida de manera primordial a los usuarios en Argentina.

El malware se camufla bajo una aplicación fraudulenta denominada MorganArg, cuyo diseño de interfaz e icono están inspirados visualmente en la entidad financiera Morgan Chase. El nombre parece ser una abreviatura estratégica de «Morgan Argentina», un detalle que también se refleja en la memoria caché del sitio web falso utilizado para su descarga.

Es fundamental destacar que PromptSpy nunca ha estado disponible en la tienda oficial Google Play. Se distribuye exclusivamente mediante sitios web de terceros a través de un archivo instalador (dropper) que engaña a la víctima para que conceda permisos de instalación de orígenes desconocidos. Gracias a la asociación entre ESET y la App Defense Alliance, los usuarios están protegidos automáticamente contra las versiones conocidas de esta amenaza mediante Google Play Protect.

Cómo eliminar PromptSpy de tu teléfono móvil

La erradicación de esta amenaza presenta un desafío particular debido a sus tácticas de persistencia. PromptSpy bloquea los intentos de desinstalación convencional superponiendo rectángulos invisibles sobre los botones críticos de la pantalla, impidiendo que el usuario pueda presionar el botón de eliminar.

La única forma segura y efectiva de limpiar el dispositivo es recurrir al modo seguro de Android. Al iniciar el teléfono en este estado de diagnóstico, todas las aplicaciones de terceros se desactivan temporalmente, anulando la capa de invisibilidad del malware.

Para ejecutar este proceso, el usuario debe mantener pulsado el botón físico de encendido, luego mantener presionado el ícono virtual de «Apagar» en la pantalla y confirmar el reinicio en modo seguro. Una vez que el sistema arranque con esta configuración, bastará con dirigirse al apartado de Ajustes, acceder a la lista de Aplicaciones, localizar MorganArg y proceder con su desinstalación definitiva sin ningún tipo de interferencia técnica.

Esta evolución en el código malicioso demuestra que las herramientas de automatización de próxima generación ya están en manos de actores maliciosos, exigiendo a los usuarios mantener un nivel de precaución sin precedentes frente a lo que instalan en sus dispositivos.

¿Te gustaría que redacte una guía paso a paso, optimizada también para SEO, sobre cómo activar el modo seguro en las marcas de celulares más populares para complementar esta información?