{"id":547,"date":"2026-04-14T12:44:41","date_gmt":"2026-04-14T12:44:41","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/14\/mirax-android-rat-convierte-los-dispositivos-en-proxy-socks5-y-llega-a-220-000-a-traves-de-metaanuncios-cyberdefensa-mx\/"},"modified":"2026-04-14T12:44:41","modified_gmt":"2026-04-14T12:44:41","slug":"mirax-android-rat-convierte-los-dispositivos-en-proxy-socks5-y-llega-a-220-000-a-traves-de-metaanuncios-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/04\/14\/mirax-android-rat-convierte-los-dispositivos-en-proxy-socks5-y-llega-a-220-000-a-traves-de-metaanuncios-cyberdefensa-mx\/","title":{"rendered":"Mirax Android RAT convierte los dispositivos en proxy SOCKS5 y llega a 220.000 a trav\u00e9s de metaanuncios \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Un incipiente troyano de acceso remoto para Android llamado <strong>mirax<\/strong> Se ha observado que se dirige activamente a pa\u00edses de habla hispana, con campa\u00f1as que llegan a m\u00e1s de 220.000 cuentas en Facebook, Instagram, Messenger y Threads a trav\u00e9s de anuncios en Meta.<\/p>\n<p>\u00abMirax integra capacidades avanzadas de troyano de acceso remoto (RAT), lo que permite a los actores de amenazas interactuar completamente con los dispositivos comprometidos en tiempo real\u00bb, dijo la empresa italiana de prevenci\u00f3n de fraude en l\u00ednea Cleafy. <a href=\"https:\/\/www.cleafy.com\/cleafy-labs\/mirax-a-new-android-rat-turning-infected-devices-into-potential-residential-proxy-nodes\">dicho<\/a>.<\/p>\n<p>\u00abM\u00e1s all\u00e1 del comportamiento tradicional de RAT, Mirax mejora su valor operativo al convertir los dispositivos infectados en <a href=\"https:\/\/www.trendmicro.com\/vinfo\/us\/security\/news\/cybercrime-and-digital-threats\/the-rise-of-residential-proxies-and-its-impact-on-cyber-risk-exposure-management\">nodos proxy residenciales<\/a>. Aprovechando el soporte del protocolo SOCKS5 y la multiplexaci\u00f3n Yamux, establece canales proxy persistentes que permiten a los atacantes enrutar su tr\u00e1fico a trav\u00e9s de la direcci\u00f3n IP real de la v\u00edctima\u00bb.<\/p>\n<p>Los detalles de Mirax surgieron por primera vez el mes pasado cuando KrakenLabs de Outpost24 revel\u00f3 que un actor de amenazas llamado \u00abMirax Bot\u00bb hab\u00eda estado anunciando una oferta privada de malware como servicio (MaaS) en foros clandestinos por 2.500 d\u00f3lares por una suscripci\u00f3n de tres meses. Tambi\u00e9n est\u00e1 disponible por $ 1,750 por mes una variante liviana que elimina ciertas funciones como el proxy y la capacidad de omitir Google Play Protect usando un cifrado.<\/p>\n<p>Al igual que otros programas maliciosos de Android, Mirax admite la capacidad de capturar pulsaciones de teclas, robar fotos, recopilar detalles de la pantalla de bloqueo, ejecutar comandos, navegar por la interfaz de usuario y monitorear la actividad del usuario en el dispositivo comprometido. Tambi\u00e9n puede recuperar din\u00e1micamente p\u00e1ginas HTML superpuestas desde un servidor de comando y control (C2) para representarlas en aplicaciones leg\u00edtimas para el robo de credenciales.<\/p>\n<p>La incorporaci\u00f3n de un proxy SOCKS, por otro lado, es una caracter\u00edstica relativamente menos conocida que lo distingue del comportamiento RAT convencional. La botnet proxy ofrece varias ventajas porque permite a los actores de amenazas eludir las restricciones basadas en la geolocalizaci\u00f3n, evadir los sistemas de detecci\u00f3n de fraude y realizar apropiaciones de cuentas o fraudes en transacciones bajo la apariencia de un mayor anonimato y legitimidad.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-risk-report-inside-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEgWajeG0cdaapf1GKTZRUZUB7BzuYGegyw5k0eAorJXlmkFdYCCeLXXhXYJuXU9lWD33rV6rRnIyly3czoNfYifpxk1eGA5slItPmim3HkubXoQMgC4J7hdQPywxGbWq7Eqeff_o6s2Fq-WmSFd5guwdLn7IqpveMqULqtVnd-ndnljWYGj45EkMFB7m0qm\/s728-e100\/z-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abA diferencia de las ofertas t\u00edpicas de MaaS, Mirax se distribuye a trav\u00e9s de un modelo exclusivo y altamente controlado, limitado a un peque\u00f1o n\u00famero de afiliados\u00bb, dijeron los investigadores Alberto Giust, Alessandro Strino y Federico Valentini. \u00abEl acceso parece tener prioridad para los actores de habla rusa con reputaci\u00f3n establecida en las comunidades clandestinas, lo que indica un esfuerzo deliberado para mantener la seguridad operativa y la eficacia de la campa\u00f1a\u00bb.<\/p>\n<p>Las cadenas de ataque que distribuyen el malware utilizan metaanuncios para promocionar p\u00e1ginas web de aplicaciones de cuentagotas, enga\u00f1ando a los usuarios desprevenidos para que las descarguen. Se han observado hasta seis anuncios. <a href=\"https:\/\/www.facebook.com\/ads\/library\/?active_status=active&amp;ad_type=all&amp;country=ALL&amp;is_targeted_country=false&amp;media_type=all&amp;q=streamtv%20esp&amp;search_type=keyword_unordered&amp;sort_data[direction]=desc&amp;sort_data[mode]=total_impressions\">publicidad activa<\/a> un servicio de streaming con acceso gratuito a deportes y pel\u00edculas en vivo. De ellos, cinco anuncios est\u00e1n dirigidos a usuarios de Espa\u00f1a. Uno de los anuncios, que comenz\u00f3 a publicarse el 6 de abril de 2026, tiene un alcance de 190.987 cuentas.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhBkR4UJ91vHZLLbT1M6kFwQhnFKgbBcxLWKrXbRCyKa2az1tPf0C8KrgrLh2wGhKK8g60TsI_5T_HBL5AwdxSGYLlGDORY_duOknccekUD0a-Bhu9noyvpVo1sZ6OtGYyt4YGHqTTdjAhkq346Z_5IdOMvAxVv_I_qG4-S7CQTZdKKDhoXnYZlmu-p5ltA\/s1700-e365\/mobile.png\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhBkR4UJ91vHZLLbT1M6kFwQhnFKgbBcxLWKrXbRCyKa2az1tPf0C8KrgrLh2wGhKK8g60TsI_5T_HBL5AwdxSGYLlGDORY_duOknccekUD0a-Bhu9noyvpVo1sZ6OtGYyt4YGHqTTdjAhkq346Z_5IdOMvAxVv_I_qG4-S7CQTZdKKDhoXnYZlmu-p5ltA\/s1700-e365\/mobile.png\" alt=\"\" border=\"0\" data-original-height=\"1388\" data-original-width=\"1494\"\/><\/a><\/div>\n<p>Las URL de la aplicaci\u00f3n cuentagotas implementan una serie de comprobaciones para garantizar que se acceda a ellas desde dispositivos m\u00f3viles y para evitar que los escaneos autom\u00e1ticos revelen su verdadero color. Los nombres de las aplicaciones maliciosas se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li>StreamTV (org.lgvvfj.pluscqpuj o org.dawme.secure5ny) \u2013 Aplicaci\u00f3n cuentagotas<\/li>\n<li>Reproductor de v\u00eddeo (org.yjeiwd.plusdc71 o org.azgaw.managergst1d) \u2013 Mirax<\/li>\n<\/ul>\n<p>Un aspecto notable de la campa\u00f1a es el uso de GitHub para alojar los archivos APK del dropper malicioso. Adem\u00e1s, el panel de creaci\u00f3n ofrece la posibilidad de elegir entre dos criptogr\u00e1ficos, Virbox y Golden Crypt (tambi\u00e9n conocido como Golden Encryption), para una protecci\u00f3n APK mejorada.<\/p>\n<p>Una vez instalado, el dropper indica a los usuarios que permitan la instalaci\u00f3n desde fuentes desconocidas para implementar el malware. El proceso de extracci\u00f3n de la carga \u00fatil final es una \u00aboperaci\u00f3n sofisticada de varias etapas\u00bb que est\u00e1 dise\u00f1ada para eludir el an\u00e1lisis de seguridad y las herramientas automatizadas de sandboxing.<\/p>\n<p>El malware, despu\u00e9s de instalarse en el dispositivo, se hace pasar por una utilidad de reproducci\u00f3n de v\u00eddeo y solicita a la v\u00edctima que habilite los servicios de accesibilidad, lo que le permite ejecutarse en segundo plano, mostrar un mensaje de error falso que indica que la instalaci\u00f3n no tuvo \u00e9xito y mostrar superposiciones falsas para ocultar actividades maliciosas.<\/p>\n<p>Tambi\u00e9n establece m\u00faltiples canales C2 bidireccionales para tareas y exfiltraci\u00f3n de datos.<\/p>\n<ul>\n<li>WebSocket en el puerto 8443, para gestionar el acceso remoto y ejecutar comandos remotos.<\/li>\n<li>WebSocket en el puerto 8444, para gestionar la transmisi\u00f3n remota y la exfiltraci\u00f3n de datos.<\/li>\n<li>WebSocket en el puerto 8445 (o un puerto personalizado), para configurar el proxy residencial usando SOCKS5.<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/fast-response-not-fast-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjgi9mu68zRUz1nCLLKmkAA2aBtNfP_JOTXulZoB6yImso1Onk7oM_LI0kdROu8fq5S5oDyMtd1j50W44Ye_8Sl3zQZiE8A9tmFr6kejGKjGh74uoxluF-RyBq_unDQlzjXZHCqQeuYXBoogda5zf0w-zXd6v0rIM7fEw6TcFf_QGWBu5Mop-djkEaOUa5A\/s728-e100\/tl-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>\u00abEsta convergencia de capacidades RAT y proxy refleja un cambio m\u00e1s amplio en el panorama de amenazas\u00bb, dijo Cleafy. \u00abSi bien el abuso de proxy residencial se ha asociado hist\u00f3ricamente con dispositivos IoT comprometidos y hardware Android de bajo costo, como televisores inteligentes, Mirax marca una nueva fase al incorporar esta funcionalidad dentro de un troyano bancario con todas las funciones\u00bb.<\/p>\n<p>\u00abEste enfoque no s\u00f3lo aumenta el potencial de monetizaci\u00f3n de cada infecci\u00f3n, sino que tambi\u00e9n ampl\u00eda el alcance operativo de los atacantes, que ahora pueden aprovechar los dispositivos comprometidos tanto para fraude financiero directo como como infraestructura para actividades cibercriminales m\u00e1s amplias\u00bb.<\/p>\n<p>La revelaci\u00f3n se produce cuando Breakglass Intelligence detall\u00f3 un RAT Android en idioma \u00e1rabe llamado ASO RAT que se distribuye a trav\u00e9s de aplicaciones disfrazadas de lectores de PDF y aplicaciones del gobierno sirio.<\/p>\n<p>\u00abLa plataforma proporciona capacidades completas de compromiso del dispositivo: interceptaci\u00f3n de SMS, acceso a c\u00e1maras, rastreo por GPS, registro de llamadas, exfiltraci\u00f3n de archivos y lanzamiento de DDoS desde los dispositivos de las v\u00edctimas\u00bb, dijo la compa\u00f1\u00eda. <a href=\"https:\/\/intel.breakglass.tech\/post\/aso-rat-arabic-android-surveillance-platform-syria\">dicho<\/a>. \u00abUn panel multiusuario con control de acceso basado en roles sugiere que esto funciona como un RAT como servicio o apoya a un equipo de m\u00faltiples operadores\u00bb.<\/p>\n<p>Actualmente no se sabe cu\u00e1les son los objetivos finales exactos de la campa\u00f1a, pero los se\u00f1uelos con temas sirios para las aplicaciones (por ejemplo, SyriaDefenseMap y GovLens) sugieren que puede estar apuntando a individuos con inter\u00e9s en asuntos militares o de gobernanza sirios como parte de lo que se sospecha que es una operaci\u00f3n de vigilancia.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Un incipiente troyano de acceso remoto para Android llamado mirax Se ha observado que se dirige activamente a pa\u00edses de habla hispana, con campa\u00f1as que llegan a m\u00e1s de 220.000 cuentas en Facebook, Instagram, Messenger y Threads a trav\u00e9s de anuncios en Meta. \u00abMirax integra capacidades avanzadas de troyano de acceso remoto (RAT), lo que [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":422,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[75,1791,24,694,1793,52,1794,1790,88,209,1792,76],"class_list":["post-547","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-android","tag-convierte","tag-cyberdefensa-mx","tag-dispositivos","tag-llega","tag-los","tag-metaanuncios","tag-mirax","tag-proxy","tag-rat","tag-socks5","tag-traves"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/547","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=547"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/547\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/422"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=547"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=547"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=547"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}