La app de tele gratis de ese anuncio de Facebook entrega tu móvil a otra persona

El anuncio parecía uno de tantos: una app gratis para ver canales de televisión, en español, con un gran botón de descarga. Detrás estaba StreamRat, un nuevo troyano para Android que los investigadores de ThreatFabric describieron el 2 de septiembre y que Malwarebytes desarrolló al día siguiente. La propia biblioteca de anuncios de Meta muestra que unas 570.000 cuentas en la UE vieron los banners entre el 11 de junio y el 3 de julio, y las mismas creatividades circularon en TikTok. Casi todas las víctimas observadas estaban en España.

Lo ingenioso no es el malware, es el acompañamiento. La web de descarga comprueba que estás en Android antes de mostrar nada, luego ofrece un archivo llamado app.apk y te guía, paso a paso, para activar "instalar desde orígenes desconocidos" y conceder a la app el acceso de Accesibilidad. Cada aviso que lanza Android se explica como una parte normal de la configuración. Con la Accesibilidad concedida, StreamRat puede leer lo que hay en pantalla, registrar lo que escribes, superponer una página de acceso falsa sobre tu app bancaria real, bloquear la pantalla con un falso mensaje de "actualizando" mientras otra persona usa el móvil, y controlar el dispositivo a distancia sin que lo veas.

La regla que lo habría parado todo es corta: una web que te enseña a saltarte un aviso de seguridad es el aviso. Las apps vienen de Google Play, y punto, y ninguna app de streaming necesita el permiso de Accesibilidad. Si instalaste algo así, elimínalo y después cambia las contraseñas del banco y del correo desde otro dispositivo, porque el móvil puede seguir vigilado.

El mismo truco existe en Windows, donde una página de descarga explica cómo saltarse SmartScreen. La revisión de Seguridad de Tendvane busca el software no deseado que suele llegar por esa vía, aunque no elimina malware; eso es trabajo de tu antivirus.