El malware bancario brasileño conocido como «Grandoreiro» o «Mekotio» ha ampliado su alcance geográfico, con una nueva campaña de TA2725 dirigida ahora también a clientes españoles, además de Brasil, Argentina y México.
Actividad cibernética en América Latina
La actividad de la Dark Web en América Latina ha aumentado en los últimos dos años. Según el reporte de SOCRadar «Brazil Threat Landscape», se registraron 360 mil millones de intentos de ciberataques en 2022, de los cuales 187 mil millones afectaron a México y 103 mil millones a Brasil.
Expansión del malware hacia otros países
En lo que va de 2023 se han detectado más de 70 variantes de este troyano bancario. Las detecciones de los sistemas de ESET muestran que Argentina (52%) es el país con más actividad de Mekotio, seguido por México (17%), Perú (12%), Chile (10%) y Brasil (3%).
Operación TA2725 y su evolución
La empresa Proofpoint ha rastreado a TA2725 desde marzo de 2022. Se sabe que oculta malware para robar cuentas bancarias y tarjetas de crédito dentro de correos electrónicos de phishing, dirigidos principalmente a organizaciones en su país de origen, Argentina o México.
Según una nueva publicación de blog del investigador senior de amenazas en Proofpoint, Jared Peck, el grupo actualizó recientemente su malware característico para incluir instituciones en ambos lados del Atlántico.
Mecanismo de ataque
Los ataques Grandoreiro/Mekotio comienzan con una URL maliciosa en un correo electrónico de phishing. Los señuelos pueden presentarse en forma de un documento compartido falso, una factura de servicios públicos, un formulario de impuestos, etc.
La URL conduce a un archivo ZIP que contiene un instalador que, cuando se ejecuta, descarga una aplicación y/o una DLL donde viene la carga útil final (el troyano).
Datos recopilados por el malware
Grandoreiro puede recopilar datos a través de un registrador de teclas, un capturador de pantalla o una superposición de la página de inicio del home-banking. Estas superposiciones imitan a los bancos populares brasileños, argentinos y mexicanos, así como también a los bancos ubicados en España.
Los señuelos de phishing de TA2725 también se diversificaron para imitar a las organizaciones con sede en España.
Tendencia global del malware brasileño
Esta no es la primera vez que los troyanos brasileños cruzan el Atlántico. A principios de este año, por ejemplo, se llevó a cabo una campaña similar atacando a los clientes de los bancos portugueses en una actividad llamada «Operación Magalenha».
Esta última actividad promueve una tendencia emergente: que el malware brasileño ya no está contenido en un solo continente.
Factores que favorecen la expansión
Según Peck, hay varias razones para esta expansión. La población general en muchas partes del mundo, como Brasil y otras partes de América del Sur y América Latina, no ha tenido el mismo acceso a educación en ciberseguridad y tecnología de protección que otras partes del mundo.
Esta situación conduce a una falta de concienciación de los usuarios sobre las amenazas de phishing y malware, lo que, a su vez, conduce a un mayor número de víctimas que hacen clic y se ven afectadas. Además, esta población general tiene una movilidad ascendente, lo que lleva a una clase media más grande, por lo que hay más oportunidades de victimizar a un grupo más grande de población.
Origen común del malware
Según Proofpoint, las familias de malware más comunes, incluidas Grandoreiro, pero también Casabeniero, Javali y Mekotio, poseen un linaje compartido: un ancestro basado en Delphi a partir del cual los componentes del código fuente se han transmitido y modificado de generación en generación.
Las organizaciones de los países afectados pueden buscar programas sospechosos con estos mismos elementos. O, como subraya Peck, pueden centrarse en el lado humano de tales compromisos.