Los troyanos bancarios Mekotio (también conocido como Melcoz) y Grandoreiro están siendo utilizados para atacar instituciones financieras en América Latina. Estos malware son distribuidos mediante correos electrónicos de phishing que imitan facturas o notas fiscales, con el objetivo de engañar a los usuarios para que abran archivos adjuntos maliciosos o hagan clic en enlaces falsos.
Características comunes
Mekotio y Grandoreiro comparten características similares. Ambos están escritos en Delphi, utilizan ventanas emergentes falsas para simular sitios bancarios legítimos, contienen funcionalidad de puerta trasera y apuntan a países de habla hispana y portuguesa.
Actividad reciente
Según los hallazgos de Trend Micro, se ha observado un aumento en los ataques cibernéticos que distribuyen el malware de Windows. Mekotio, que se utiliza activamente desde 2015, apunta a países como Argentina, Brasil, Chile, México, España, Perú y Portugal con el objetivo de robar credenciales bancarias.
Redes criminales
Mekotio es parte de una tetrada de troyanos bancarios dirigidos a la región. Estos incluyen Guildma, Javali y Grandoreiro. Aunque Grandoreiro fue «desmantelado» por las autoridades a principios de este año, su red sigue en funcionamiento.
Operaciones anteriores
La operación de Mekotio sufrió un duro golpe en julio de 2021 cuando las fuerzas del orden españolas arrestaron a 16 personas pertenecientes a una red criminal relacionada con la orquestación de campañas de ingeniería social.
Proceso de infección
Las cadenas de ataques implican el uso de correos electrónicos de phishing con temas fiscales. Los usuarios son engañados para que abran archivos adjuntos maliciosos o hagan clic en enlaces falsos que conducen a la implementación de un archivo MSI, que utiliza un script AutoHotKey (AHK) para iniciar el malware.
Funcionalidades del malware
Mekotio y Grandoreiro recopilan información del sistema, establecen contacto con un servidor de comando y control (C2), y pueden realizar capturas de pantalla, registrar pulsaciones de teclas, robar datos del portapapeles y mantener persistencia en el host mediante tareas programadas.
Impacto
Los actores de amenazas utilizan la información robada para obtener acceso no autorizado a las cuentas bancarias de los usuarios y realizar transacciones fraudulentas. Estos troyanos son amenazas persistentes y en evolución para los sistemas financieros, especialmente en países latinoamericanos.
Nuevo troyano
La firma mexicana Scitum reveló detalles de un nuevo troyano bancario llamado Red Mongoose Daemon. Este malware utiliza cuentagotas MSI distribuidos a través de correos electrónicos de phishing disfrazados de facturas y notas fiscales.
Objetivo del nuevo troyano
El objetivo principal de Red Mongoose Daemon es robar información bancaria falsificando transacciones PIX mediante ventanas superpuestas. Este troyano está dirigido a usuarios finales brasileños y empleados de organizaciones con información bancaria.
Capacidades del nuevo troyano
Red Mongoose Daemon tiene capacidades para manipular y crear ventanas, ejecutar comandos, controlar la computadora de forma remota, manipular navegadores web, secuestrar portapapeles y hacerse pasar por billeteras Bitcoin reemplazando billeteras copiadas con las utilizadas por los ciberdelincuentes.