El malware bancario Grandoreiro sigue siendo una amenaza activa. Parte de la organización detrás de este malware fue desarticulada, pero los cibercriminales continúan desarrollando nuevas versiones y tácticas para robar el dinero de los usuarios de bancos.
Características técnicas del malware
Grandoreiro utiliza nuevos métodos cada vez más sofisticados para evadir las medidas de seguridad de los bancos, como algoritmos para generar direcciones web falsas y cifrar la información robada. Afecta a usuarios de todo el mundo, especialmente a Latinoamérica y Europa.
El malware busca activamente y evita una amplia gama de antivirus y de seguridad, incluyendo soluciones especializadas para la seguridad bancaria. Obtiene datos del sistema infectado, como la ubicación geográfica, el nombre de usuario y el software instalado.
Modo de infección
El proceso de infección es bastante sencillo: un usuario recibe un correo electrónico o hace clic en un anuncio malicioso, éste clic provoca que se descargue un archivo comprimido (ZIP), dentro de este ZIP hay un programa legítimo que sirve de camuflaje y un instalador (MSI) que descarga y ejecuta el malware.
Actualizaciones y evolución
Grandoreiro está en constante evolución, los creadores de este malware están continuamente actualizándose para mantenerlo un paso por delante de las medidas de seguridad. Las últimas versiones de este malware han mostrado varias novedades diseñadas para pasar desapercibidas y dificultar su detección.
Funcionalidades avanzadas
Grandoreiro utiliza un certificado digital. Los archivos ejecutables son extremadamente grandes (390 MB), lo que puede despistar a algunos sistemas de seguridad. Incorpora CAPTCHAs para dificultar el análisis automático del malware.
Operación y transferencia de fondos
El malware monitorea la actividad del usuario en navegadores, clientes de correo electrónico y aplicaciones de almacenamiento en la nube, con el objetivo de robar credenciales y redirigir transacciones. Puede actualizarse automáticamente para mantenerse al día con las nuevas vulnerabilidades y técnicas de seguridad.
Redes de cibercriminales
Grandoreiro opera bajo el modelo de malware como servicio (MaaS), aunque las pruebas apuntan a que sólo se ofrece a ciberdelincuentes selectos y socios de confianza. Utiliza Outlook para enviar spam y supervisar los correos electrónicos en busca de palabras clave relacionadas con transacciones financieras.
Impacto global
Es capaz de atacar a más de 1.700 instituciones financieras en 45 países. La detención de algunos de sus creadores ha tenido consecuencias para este malware, pues el código se ha dividido en dos versiones: una más nueva y actualizada, y otra que se basa en la base de código heredada, que ahora está más enfocada sólo a usuarios en México.
Transferencia de fondos robados
Los fondos robados se transfieren a cuentas de mulas de dinero a través de diversas vías, como aplicaciones de transferencia, criptomonedas, tarjetas regalo o cajeros automáticos. Las mulas se identifican a través de canales de Telegram, pagándoles entre 200 y 500 dólares al día.
Recomendaciones para la seguridad
- Asegurarse que el sistema operativo, antivirus y otros programas estén siempre actualizados con los últimos parches de seguridad.
- No abrir correos electrónicos de remitente desconocido, especialmente aquellos que contengan archivos adjuntos o enlaces.
- Crear contraseñas seguras y únicas para cada una de las cuentas en línea. Utilizar un gestor de contraseñas para almacenarlas de forma segura.
- Activar la autenticación de dos factores en las cuentas en línea.
- Verificar que los sitios web sean seguros antes de introducir información personal o financiera.
- Evitar hacer clic en anuncios que aparezcan en sitios web desconocidos o que te prometan ganancias fáciles.
- Realizar copias de seguridad regulares de datos importantes para poder restaurarlos en caso de infección por malware.