Se utiliza para atacar a empresas en España, Portugal y México
Latinoamérica se convierte en el objetivo de una campañas de troyano bancario diseñada para infectar dispositivos Windows y Android con el malware Grandoreiro.
Así lo revelan nuevos hallazgos de WatchGuard y ESET, que han observado que estas dos familias de malware se utilizan para atacar a empresas en España, Portugal y México, así como a usuarios de dispositivos móviles en Brasil.
La campaña Grandoreiro "utiliza la técnica de carga lateral de DLL, abusando de cuatro diferentes programas informáticos y dirigida a bancos en Portugal", declaró Euler Neto, investigador de WatchGuard.
Activo desde 2016, Grandoreiro es un malware bancario en constante evolución capaz de robar credenciales de miles de instituciones financieras en 45 países y territorios. Generalmente se distribuye mediante correos electrónicos de phishing, incitando a los destinatarios a hacer clic en enlaces sospechosos.
A pesar de algunas detenciones e intentos por parte de las autoridades brasileñas de desmantelar su infraestructura a principios de 2024, el malware ha seguido expandiendo su alcance, al tiempo que incorpora comprobaciones CAPTCHA para resistir el análisis.
Se ha descubierto que la última campaña detectada por WatchGuard aprovecha la carga lateral de DLL para ejecutar archivos DLL desarrollados en Delphi 11, un lenguaje de programación comúnmente utilizado para malware dirigido a esa región. Se ha comprobado que dos de estos archivos, mingwm10.dll y libwebp.dll, incorporan sgcWebSockets, una biblioteca de WebSocket y comunicación en tiempo real, para comunicaciones punto a punto (P2P) y WebRTC.
"Las DLL asociadas a este caso utilizan el protocolo Session Traversal Utilities for NAT (STUN), que ayuda a los dispositivos detrás de un NAT a descubrir su dirección IP pública y número de puerto, lo que permite la comunicación entre pares", explicó WatchGuard.
"La ventaja que tienen los ciberdelincuentes al utilizar el tráfico de videoconferencias en sus campañas se debe a que este tráfico es ruidoso, difícil de monitorizar y a que WebRTC se utiliza habitualmente en todas las principales plataformas de videoconferencias".
Otras dos DLL asociadas a la campaña son libffi-6.dll y libpng15.dll, que utilizan el protocolo ICE (Interactive Connectivity Establishment) en lugar de STUN para lograr el mismo objetivo. Estos archivos hacen referencia específica a bancos e instituciones financieras que operan en Portugal, como Abanca, Banco de Portugal, BBVA PT, Caixa Geral Depósitos y Santander, entre otros. También se ha atacado a Revolut y Wise.
WatchGuard también informó haber identificado otra campaña en la que se utilizan correos electrónicos de phishing para distribuir un archivo ZIP alojado en Mediafire. El archivo contiene un script de Visual Basic ofuscado que ejecuta un programa que muestra un mensaje solicitando a los usuarios que actualicen Adobe Reader haciendo clic en un botón integrado en la alerta.
Al hacerlo, se activa una serie de comprobaciones destinadas a evitar la detección y a dificultar el análisis del malware, antes de lanzar la carga útil final para robar información bancaria y datos confidenciales. Algunas de las tácticas coinciden con una campaña anterior de Grandoreiro que Kaspersky detalló en octubre de 2024.
"Lo más importante aquí no es solo que Grandoreiro siga activo", dijo WatchGuard. "Es que los grupos de ciberdelincuentes con motivaciones económicas siguen adaptándose rápidamente, reutilizando servicios legítimos y ocultándose dentro de patrones de tráfico en los que muchas organizaciones ya confían".
"Al combinar el phishing, la carga lateral de DLL, los componentes relacionados con WebRTC, el abuso de servicios en la nube y las comprobaciones anti-análisis, estas campañas demuestran cómo el malware bancario se está volviendo más difícil de detectar con defensas superficiales únicamente".
