Análisis de comportamiento de malware en dispositivos Android: Un enfoque práctico en entornos controlados con Android

Abstract

El sistema operativo Android, debido a su amplia adopción y a la heterogeneidad que caracteriza a su ecosistema, se ha convertido en un objetivo recurrente para amenazas cada vez más sofisticadas. Este estudio analiza el comportamiento de distintas variantes de malware dirigidas a Android—incluyendo troyanos bancarios, aplicaciones fraudulentas basadas en phishing y droppers altamente ofuscados como los asociados a la familia SpyNote—mediante un enfoque híbrido que combina análisis estático y dinámico dentro de un laboratorio virtual controlado.La investigación se llevó a cabo en un entorno seguro configurado con VMware y Android‑x86. El análisis estático, realizado con herramientas como MobSF, Jadx y APKTool, permitió examinar la estructura interna de las aplicaciones, certificados, permisos y artefactos incrustados. A su vez, el análisis dinámico, desarrollado mediante FakeNet‑NG, Wireshark y ADB, facilitó la observación de interacciones en tiempo real, modificaciones del sistema y actividad genuina de red...The Android operating system, due to its broad adoption and the heterogeneous nature of its ecosystem, has become a persistent target for increasingly sophisticated cyber threats. This study examines the behavioral dynamics of current Android malware—specifically banking trojans, phishing-based fraudulent applications, and highly obfuscated droppers such as those associated with the SpyNote family—through a hybrid analysis approach conducted within an isolated and fully controlled virtual laboratory. The methodological framework centered on the creation of a secure test environment using VMware and Android-x86. Static inspection was performed with tools such as MobSF, Jadx, and APKTool, allowing the examination of application structure, certificates, permissions, and embedded artifacts. Complementing this, dynamic monitoring was carried out with FakeNet-NG, Wireshark, and ADB to observe runtime interactions, system modifications, and real network activity...