Cómo escanear archivos IPA en busca de malware antes de instalarlos

Antes de instalar un archivo IPA de fuera de la App Store, unos minutos de comprobación pueden evitarte una app modificada que robe contraseñas, contactos o datos de ubicación. Esta guía repasa formas prácticas de comprobar si un IPA tiene malware, desde un escaneo rápido online hasta mirar dentro del propio archivo, además de qué hacer si ya instalaste algo sospechoso. Última revisión: 27 de octubre de 2026, según la documentación de VirusTotal y MobSF y la Guía del usuario de iPhone de Apple para iOS 26.

Los riesgos, primero

• Ningún escaneo puede garantizar que un IPA sea seguro. Los escáneres detectan amenazas conocidas; una modificación nueva o bien oculta puede pasar todas las comprobaciones.
• Subir un archivo a un escáner online implica compartirlo. La documentación de VirusTotal dice que los resultados se comparten «entre los socios examinadores» y que «el contenido de los archivos o páginas enviados también puede compartirse con clientes premium de VirusTotal». Nunca subas un IPA que contenga tus propios datos o builds privadas.
• La fuente importa más que el escaneo. Un archivo descargado desde la propia página de lanzamiento del desarrollador es mucho menos arriesgado que esa misma app vuelta a subir por un desconocido.

Lista rápida de comprobación

Comprobación	Tiempo	Necesitas	Qué detecta
Investigar la fuente	5 minutos	Un navegador	Sitios falsos, archivos vueltos a subir, fuentes con malas reseñas
Hash del archivo	1 minuto	Terminal, un hash publicado	Cualquier cambio en el archivo después de que el autor lo publicara
VirusTotal	Unos minutos	Un navegador	Malware conocido que los motores antivirus ya detectan
Mirar dentro del IPA	10 minutos	Herramienta para descomprimir, idealmente un Mac	Librerías extra inyectadas en la app
MobSF	15+ minutos	Docker, o la demo online	Permisos de riesgo, rastreadores, URLs y claves hardcodeadas

Por qué los archivos IPA pueden ser peligrosos

Un archivo IPA es un archivo ZIP que contiene una app de iOS. Cualquiera con las herramientas adecuadas puede tomar una app real, añadirle su propio código, volver a empaquetarla y compartirla. El resultado se ve y funciona como el original, pero el código añadido puede ejecutarse en segundo plano con los permisos que le concedas a la app. Esto se llama app reempaquetada o modificada, y es la principal vía por la que el malware llega a los iPhone fuera de la App Store.

Las herramientas de sideloading vuelven a firmar cada app con un certificado nuevo antes de instalarla, así que la firma en tu iPhone no te dice nada sobre quién hizo la app. Por eso las siguientes comprobaciones se hacen antes de instalar.

Método 1: investiga la fuente

Haz esto primero, porque es la única comprobación que puede detectar algo que ningún escáner conoce todavía.

• Prefiere la página de lanzamiento propia del desarrollador, como los releases de GitHub de la app, antes que cualquier mirror.
• Busca el nombre exacto del archivo o de la fuente en Reddit (r/sideloaded, r/jailbreak) para ver si hay reportes de problemas.
• Desconfía de sitios web muy nuevos, enlaces anónimos de alojamiento de archivos y canales de Telegram sin historial.
• Desconfía muchísimo de los sitios que ofrecen apps de pago gratis. Esos archivos siempre han sido modificados por alguien, por definición.

Nuestra lista de librerías y repositorios de IPA explica qué buscar en una fuente.

Método 2: comprueba el hash del archivo

Algunos desarrolladores publican un hash SHA-256 junto a su descarga. Un hash es como la huella digital de un archivo: si cambia aunque sea un solo byte, el hash es completamente distinto. Si el hash de tu archivo coincide con el publicado, tienes exactamente el archivo que lanzó el desarrollador.

• Mac: abre Terminal y ejecuta shasum -a 256 /path/to/app.ipa
• Windows: abre PowerShell y ejecuta Get-FileHash C:\path\to\app.ipa -Algorithm SHA256
• Linux: ejecuta sha256sum /path/to/app.ipa

Una coincidencia solo sirve si el hash proviene del desarrollador, no del mismo sitio que te dio el archivo. Un hash en un mirror solo demuestra que el archivo es el que ese mirror subió.

Método 3: Escanear con VirusTotal

VirusTotal es un servicio gratuito que analiza un archivo según lo que su documentación describe como «más de 70 motores antivirus y servicios de listas de bloqueo de URL/dominios».

1. Abre virustotal.com en tu ordenador.
2. Elige File, selecciona el IPA y espera a que termine el escaneo.
3. Antes de subirlo, pega el hash SHA-256 del archivo en la pestaña Search. Si alguien ya escaneó el mismo archivo, obtendrás los resultados sin necesidad de subir nada.
4. Lee los nombres de las detecciones, no solo el número.

Cómo interpretar el resultado:

• Varios motores nombran la misma familia de malware: no lo instales.
• Una o dos detecciones con nombres genéricos: podría ser un falso positivo. La documentación de VirusTotal indica que también sirve para detectar falsos positivos, «elementos normales e inofensivos detectados como maliciosos por uno o más motores». Revisa los comentarios de la comunidad en el resultado y vuelve a comprobar la fuente.
• Ninguna detección: significa que ningún motor lo identifica como malware. No significa que el archivo esté limpio.

Método 4: Mirar dentro del IPA

Como un IPA es un archivo ZIP, puedes abrirlo sin instalarlo.

1. Copia el archivo y cambia el nombre de la copia de app.ipa a app.zip.
2. Descomprímelo. Dentro hay una carpeta Payload con una carpeta AppName.app en su interior (en un Mac, haz clic derecho sobre ella y elige Mostrar contenido del paquete).
3. Abre Info.plist y comprueba el identificador del paquete (bundle identifier) y la versión. Deberían coincidir con la app que esperas.
4. Revisa la carpeta Frameworks y la carpeta de la app en busca de archivos .dylib. El código inyectado suele añadirse como un dylib extra con un nombre que no tiene nada que ver con la app.

En un Mac con las herramientas de línea de comandos de Xcode, dos comandos permiten ir más allá:

• otool -L Payload/AppName.app/AppName lista las bibliotecas que carga el programa principal de la app. Una ruta a una biblioteca dentro de la app que no sea uno de sus propios frameworks es una señal de alerta.
• codesign -dv --verbose=4 Payload/AppName.app muestra quién firmó el archivo. Compáralo con el desarrollador que esperas, teniendo en cuenta que muchos IPA se distribuyen sin firmar o re-firmados.

Algunas apps modificadas, como las tweaked apps, están pensadas para contener dylibs adicionales. Entonces la pregunta no es si hay uno, sino si confías en la persona que lo añadió.

Método 5: Análisis en profundidad con MobSF

Mobile Security Framework (MobSF) es una herramienta gratuita y de código abierto. Su README indica que el analizador estático es compatible con binarios de apps, incluidos los archivos IPA, y enumera usos como el análisis de malware y el análisis de privacidad. Un informe de MobSF sobre un IPA muestra cosas como los permisos solicitados, las direcciones de red y las cadenas de texto encontradas en la app.

• Ejecútalo tú mismo: el README ofrece una configuración con Docker: docker pull opensecurity/mobile-security-framework-mobsf:latest, luego docker run -it --rm -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest, y abre localhost:8000 en un navegador.
• En línea: el README enlaza a un analizador estático en línea en mobsf.live. Aplica la misma precaución de privacidad que con VirusTotal: estás subiendo el archivo al servidor de otra persona.

Busca permisos que la app no debería necesitar (una calculadora que pide acceso a los contactos) y direcciones de red que no pertenezcan al desarrollador de la app.

Si ya instalaste una app sospechosa

1. Elimina la app: mantén pulsado su icono, toca Eliminar app y luego Borrar app.
2. Revisa Ajustes > General > VPN y gestión de dispositivos y elimina cualquier perfil que no reconozcas.
3. Revisa los permisos en Ajustes > Privacidad y seguridad, y consulta ahí el Informe de privacidad de apps para ver con qué dominios se comunicaron las apps.
4. Cambia las contraseñas de cualquier cuenta en la que hayas iniciado sesión dentro de esa app, empezando por tu Apple Account y tu correo.
5. Si crees que el riesgo fue serio, haz copia de seguridad de lo que necesites y borra el iPhone en Ajustes > General > Transferir o restablecer iPhone > Borrar todo el contenido y ajustes.

Encontrarás las rutas paso a paso para cada permiso en nuestra guía sobre cómo revocar el acceso a apps que no son de confianza.

Buenos hábitos

• Consigue las apps desde la página de lanzamiento del propio desarrollador siempre que exista.
• Comprueba el hash cuando esté publicado y analiza el archivo con VirusTotal cada vez.
• Concede permisos solo cuando la app los necesite para lo que vas a usarla.
• Usa un Apple ID aparte para el sideloading si tu herramienta lo pide, así la cuenta principal nunca corre riesgo.

Para tener una visión más completa, consulta nuestra guía de seguridad del sideloading en iOS y lo que debes saber sobre los certificados empresariales.

Preguntas frecuentes

¿Puedo analizar un IPA desde mi iPhone?

Puedes abrir virustotal.com en Safari y subir el archivo desde la app Archivos. Para mirar dentro del IPA y ejecutar MobSF necesitas un ordenador.

¿La revisión de la App Store protege también a las apps instaladas por sideloading?

No. Un IPA instalado por sideloading nunca pasó por App Review, aunque la app original esté en la App Store.

¿Basta con un resultado limpio en VirusTotal?

No. Solo significa que ningún motor reconoce el archivo como malware conocido. Combínalo con una fuente de confianza y con un análisis del contenido del archivo.