Dropper (Malware)

¿Qué es un dropper de malware?

77 apps maliciosas y 19 millones de descargas. Esos son los números que acumula solo Anatsa/TeaBot en Google Play entre 2023 y 2026, según Zscaler ThreatLabz. La inmensa mayoría de esas apps no contenían malware visible: eran droppers, aplicaciones aparentemente inocuas que superaban los controles de Google Play Protect para, una vez instaladas en el dispositivo de la víctima, descargar e instalar el verdadero troyano bancario. En España, campañas de dropper han distribuido Anatsa, SharkBot y Xenomorph contra bancos como BBVA, CaixaBank, Santander y Sabadell, robando millones de euros a usuarios que creían estar descargando un simple lector de PDF.

Un dropper es un tipo de malware cuya función principal no es causar daño directamente, sino servir como vehículo de entrega para otro malware (el payload). El dropper actúa como intermediario: se presenta como una aplicación legítima (lector PDF, limpiador de archivos, escáner QR, gestor de documentos), pasa los filtros de seguridad de las tiendas de aplicaciones y, una vez instalado, descarga, desempaqueta e instala el malware real en el dispositivo de la víctima.

Diferencia clave entre dropper y payload:

El dropper es, en esencia, un caballo de Troya digital: su apariencia externa es completamente funcional e inofensiva, pero en su interior alberga la capacidad de descargar y activar el verdadero arma.

Campañas reales de droppers en Google Play

La siguiente tabla recoge las campañas de dropper más relevantes que han afectado a usuarios españoles y europeos entre 2023 y 2026:

Fuentes: Zscaler ThreatLabz (agosto 2025), ThreatFabric (febrero 2024, noviembre 2023), Cleafy (enero 2024), NCC Group (2023).

Estas cifras revelan un patrón claro: los droppers no son incidentes aislados, sino una táctica consolidada del ecosistema de ciberdelincuencia contra la banca móvil.

Tipos de droppers

No todos los droppers funcionan de la misma manera. La clasificación principal distingue entre droppers de una etapa y droppers de múltiples etapas:

Dropper de una sola etapa (single-stage)

El malware completo viene empaquetado dentro del propio dropper. El código malicioso está cifrado o oculto en los assets de la app y se desempaqueta localmente sin necesidad de descargar nada de internet.

Dropper de múltiples etapas (staged dropper)

El dropper instalado desde Google Play no contiene el payload. Se conecta a un servidor C2 para descargarlo en una fase posterior, normalmente disfrazado como una “actualización” de la app.

Dropper-as-a-Service (DaaS)

Una evolución del modelo Malware-as-a-Service (MaaS) donde grupos criminales alquilan la infraestructura de dropper a otros operadores de malware. El proveedor de DaaS se encarga de:

• Crear y publicar las apps dropper en Google Play
• Mantener las cuentas de desarrollador (con identidades robadas)
• Acumular descargas y reviews positivas mediante granjas de bots
• Entregar el payload del cliente (cualquier troyano bancario) cuando se alcanza un umbral de instalaciones

Según ThreatFabric (2024), el precio de una campaña DaaS oscila entre 2.000 y 20.000 USD por operación, dependiendo del volumen de instalaciones garantizado y la región objetivo.

Técnicas de evasión de Google Play Protect

Los droppers modernos emplean un arsenal de técnicas para superar los controles de seguridad de Google. Estas son las más documentadas:

1. Publicación limpia y actualización maliciosa

La técnica más efectiva y la que utiliza Anatsa de forma sistemática:

1. El atacante publica una app completamente funcional y limpia (lector PDF real, escáner QR funcional)
2. La app acumula miles de descargas y reviews legítimas de 4-5 estrellas
3. Semanas o meses después, el atacante publica una actualización que incluye el código dropper
4. Google Play Protect escanea la actualización pero no detecta anomalías porque el payload se descarga desde un C2 externo, no está en el código de la app

2. Carga dinámica de código (Dynamic Code Loading)

El dropper no incluye código malicioso en su APK. En su lugar:

• Descarga un archivo DEX (Dalvik Executable) desde un servidor C2
• Lo carga en memoria mediante DexClassLoader o PathClassLoader
• El código descargado ejecuta las funciones maliciosas
• El análisis estático del APK no revela nada sospechoso

3. Ofuscación y cifrado del payload

Cuando el payload se incluye dentro del APK (droppers single-stage):

• El payload se cifra con AES-256 y se almacena como un archivo de assets genérico (imagen, base de datos SQLite)
• La clave de descifrado se obtiene del servidor C2 o se compone dinámicamente a partir de valores del dispositivo
• El payload se descifra y carga solo en tiempo de ejecución

4. Verificación de entorno (anti-sandbox)

Los droppers avanzados verifican si están siendo analizados antes de activarse:

5. Abuso de Accessibility Services

Una vez que el usuario concede permisos de Accesibilidad Android, el dropper puede:

• Descargar e instalar el payload sin intervención del usuario
• Conceder automáticamente todos los permisos que el payload necesita
• Desactivar Google Play Protect desde los ajustes del dispositivo
• Ocultar el icono de la app maliciosa

Ciclo de vida de un dropper en Google Play

Caso práctico: dropper Anatsa disfrazado de lector PDF

Contexto del caso (basado en la investigación publicada por Zscaler ThreatLabz y ThreatFabric):

En febrero 2024, ThreatFabric identificó una campaña de Anatsa dirigida específicamente a usuarios de banca móvil en España, Alemania, Reino Unido y República Checa. El dropper se presentaba como una app de productividad: “PDF Reader and File Manager”, publicada en Google Play con más de 100.000 descargas y una valoración de 4.3 estrellas.

Secuencia del ataque documentada:

Fase 1 - App en Google Play (semanas 1-4):
├── App "PDF Reader and File Manager" publicada
├── Funcionalidad real: abre PDFs, gestiona archivos
├── 0 detecciones en VirusTotal
├── 100.000+ descargas, 4.3 estrellas
└── Google Play Protect: LIMPIA

Fase 2 - Actualización con dropper (semana 5):
├── Actualización v2.1 publicada
├── Nuevo módulo: descarga "plugin de rendimiento"
├── Solicita permiso de Accesibilidad ("para leer PDFs en voz alta")
├── Verificación geográfica: solo activa en ES, DE, UK, CZ
└── Google Play Protect: NO DETECTA

Fase 3 - Descarga del payload (minutos después):
├── Dropper contacta C2: hxxps://update-service[.]xyz/api/v2
├── Descarga Anatsa v5.3 (troyano bancario)
├── Instalación silenciosa via Accessibility Services
├── Payload ataca apps bancarias: BBVA, CaixaBank, Santander
└── Overlay attack + intercepción OTP SMS

Bancos españoles atacados por esta campaña:

• BBVA (app Android)
• CaixaBank (app Android)
• Santander (app Android)
• Sabadell (app Android)
• ING Direct (app Android)

Impacto documentado: ThreatFabric estimó que esta campaña concreta afectó a varios miles de dispositivos europeos antes de que Google retirara la app, semanas después de la primera detección por investigadores externos.

Análisis forense de un dropper

El análisis forense de un dropper requiere una metodología específica que combine análisis estático, dinámico y de red para documentar la cadena completa de infección.

Fase 1: Identificación y preservación de la evidencia

Fase 2: Análisis estático del dropper

Herramientas y procedimiento:

1. APKTool → Decompila APK, extrae AndroidManifest.xml
   - Permisos declarados (BIND_ACCESSIBILITY_SERVICE, READ_SMS, SYSTEM_ALERT_WINDOW)
   - Receivers y services declarados

2. Jadx → Decompila classes.dex a código Java legible
   - Buscar: DexClassLoader, PathClassLoader (carga dinámica)
   - Buscar: URLs hardcodeadas o cifradas de C2
   - Buscar: comprobaciones de emulador/sandbox

3. VirusTotal → Hash SHA-256 del APK
   - Ratio de detección (0/70 en droppers recién publicados)
   - Relaciones: otros APKs del mismo certificado

4. MobSF (Mobile Security Framework) → Análisis automatizado
   - Score de riesgo, permisos peligrosos, APIs sensibles

Fase 3: Análisis dinámico en sandbox

El dropper debe ejecutarse en un entorno controlado de sandbox de análisis de malware para documentar su comportamiento real:

1. Configurar el sandbox con SIM virtual española, idioma ES, IP geolocalizada en España (para activar la selectividad geográfica del dropper)
2. Instalar la app y conceder los permisos que solicita
3. Monitorizar: tráfico de red (conexiones C2), sistema de archivos (payloads descargados), actividad de procesos (instalación del payload)
4. Documentar con capturas de pantalla, volcados de tráfico de red y hashes de todos los archivos generados

Fase 4: Correlación con IoCs conocidos

Herramientas forenses especializadas

• APKTool + Jadx: Decompilación estática del dropper (análisis de malware)
• MobSF: Análisis automatizado estático y dinámico
• Frida: Instrumentación en tiempo real para hookear funciones de descarga
• Cellebrite UFED / Oxygen Forensics: Extracción física de dispositivo Android
• Magnet AXIOM: Análisis de artefactos y timeline del sistema
• Wireshark: Captura y análisis de tráfico de red C2

Marco legal en España

Delitos tipificados aplicables a droppers

La distribución y uso de droppers puede encuadrarse en varios tipos penales del Código Penal español:

Relevancia del informe pericial en casos de dropper

El informe pericial es determinante para:

1. Exonerar a la víctima: Demostrar que la infección se produjo por un dropper sofisticado que evadió los controles de Google Play, no por negligencia del usuario
2. Reclamación bancaria: Los bancos españoles suelen alegar “negligencia del usuario” para no devolver el dinero robado. El informe pericial que acredita malware sofisticado con evasión de Play Protect invalida este argumento
3. Denuncia penal: Documentar la cadena técnica completa (dropper, C2, payload, transacciones) para la investigación policial

Prevención: cómo identificar un posible dropper

Señales de alerta antes de instalar una app

Protección recomendada

1. Descargar apps bancarias solo desde el enlace oficial del sitio web de tu banco
2. No conceder nunca permisos de Accesibilidad a apps que no sean de asistencia a discapacidad
3. Mantener Google Play Protect activado (detecta variantes conocidas)
4. Revisar los permisos de las apps instaladas periódicamente: Ajustes, Apps, Permisos
5. Actualizar el sistema operativo Android a la última versión disponible
6. Activar alertas bancarias por SMS para cada transacción

Preguntas frecuentes

¿Un dropper puede infectar un iPhone?

Es extremadamente raro. Apple App Store tiene controles significativamente más restrictivos que Google Play: revisión manual de código, prohibición de carga dinámica de código y restricciones de Accessibility API. Sin embargo, no es imposible: en 2024 se documentaron casos aislados de apps maliciosas en App Store que utilizaban técnicas de ofuscación para evadir la revisión manual. En la práctica, la gran mayoría de campañas de dropper se dirigen exclusivamente a Android.

¿Google Play Protect elimina los droppers?

Google Play Protect detecta y elimina las variantes conocidas (con firmas ya incluidas en su base de datos), pero los droppers nuevos pueden permanecer activos en Google Play durante días o semanas antes de ser detectados. Una vez que Google retira la app de Play Store, Play Protect la marca como peligrosa en los dispositivos que ya la tienen instalada, pero el payload ya descargado puede seguir activo si no se realiza un análisis completo del dispositivo.

¿Un factory reset elimina el dropper y su payload?

Sí, un restablecimiento de fábrica elimina tanto el dropper como el payload instalado. Sin embargo, si el objetivo es presentar denuncia o reclamar al banco, primero debe realizarse una extracción forense del dispositivo para preservar la evidencia. El factory reset destruye irremediablemente las pruebas necesarias para el informe pericial. Contacta con un perito informático forense antes de resetear el dispositivo.

¿Cuánto cuesta el análisis forense de un dropper?

El ROI del informe pericial puede ser muy alto: si el informe acredita que la infección se produjo por malware sofisticado que evadió Google Play Protect, el banco puede devolver entre el 60% y el 100% del dinero robado.

¿Qué diferencia hay entre un dropper y un downloader?

Aunque ambos términos se usan a veces de forma intercambiable, técnicamente un dropper contiene o desempaqueta el payload localmente, mientras que un downloader lo descarga de internet. En la práctica actual, la mayoría de droppers en Google Play son híbridos: la app descarga el payload desde un servidor C2, combinando ambas funcionalidades.

Referencias y fuentes

1. Zscaler ThreatLabz. (2025). “Anatsa Banking Trojan: Tracking the Latest Google Play Store Campaigns”. Disponible en: zscaler.com

   • 77+ apps dropper identificadas, 19 millones de descargas acumuladas

2. ThreatFabric. (2024). “Anatsa Trojan Returns: Targeting Europe and Expanding Its Reach”. Disponible en: threatfabric.com

   • Campaña dirigida a España, Alemania, UK, República Checa; 831 entidades financieras objetivo

3. Cleafy. (2024). “SharkBot: A New Generation of Android Banking Trojan”. Disponible en: cleafy.com

   • Análisis técnico de droppers SharkBot en Google Play

4. NCC Group / Fox-IT. (2023). “SharkBot is back in Google Play”. Disponible en: nccgroup.com

   • Documentación de técnicas de evasión de Play Protect

5. ThreatFabric. (2023). “Xenomorph v3: A New Variant with ATS Framework”. Disponible en: threatfabric.com

   • Campaña Xenomorph con droppers en Google Play, ATS framework para transferencias automatizadas

6. INCIBE. (2025). “Balance de Ciberseguridad 2025”. Disponible en: incibe.es

   • 122.223 ciberincidentes gestionados en España, malware como primera categoría

7. Google. (2025). “How Google Play Protect works”. Disponible en: support.google.com

   • Documentación oficial del sistema de detección de malware de Google

8. Kaspersky Securelist. (2025). “Mobile malware evolution 2024”. Disponible en: securelist.com

   • 1.242.000 ataques de troyanos bancarios a Android en 2024 (+196%)

9. Código Penal español: Arts. 197 (descubrimiento y revelación de secretos), 197 ter (facilitación de herramientas), 248-249 (estafa), 264 (daños informáticos)

10. Europol. (2025). “Internet Organised Crime Threat Assessment (IOCTA)”. Disponible en: europol.europa.eu

    • Dropper-as-a-Service identificado como tendencia creciente en ecosistema criminal

Nota: Los casos prácticos descritos se basan en investigaciones publicadas por empresas de ciberseguridad (ThreatFabric, Zscaler ThreatLabz, Cleafy). Las cifras de daños son estimaciones basadas en informes de la industria. Para información actualizada sobre campañas activas, consultar los informes originales de los investigadores citados.

¿Sospechas que una app ha instalado malware en tu dispositivo? En Digital Perito realizamos análisis forense de dispositivos Android comprometidos por droppers, generando informes periciales admisibles ante tribunales que documentan la cadena completa de infección. Contacta con nosotros para una evaluación inicial gratuita.

Última actualización: 16 de febrero de 2026 Autor: Jonathan Izquierdo, ex-CTO y 5x AWS Certified, perito informático forense con metodología ISO 27037 Categoría: Malware (MAL-020) Nivel técnico: Intermedio-Avanzado Relevancia: Muy Alta (amenaza activa 2026)