Grandoreiro es un troyano bancario que ha estado apuntando activamente a usuarios, particularmente en América Latina. Este malware forma parte de campañas de phishing más amplias y está diseñado para robar credenciales bancarias y datos financieros engañando a los usuarios para que descarguen software malicioso.
Propagación, envío e infección
El principal método de distribución de Grandoreiro es mediante campañas de phishing. Los ciberatacantes suelen enviar correos electrónicos que se hacen pasar por entidades gubernamentales o instituciones financieras legítimas, animando a las víctimas potenciales a hacer clic en enlaces maliciosos y descargar archivos adjuntos infectados.
Los correos electrónicos afirman contener documentos importantes como extractos de cuentas bancarias, impuestos o avisos de impuestos. Después de hacer clic en el enlace o abrir el documento, la víctima descarga un archivo ZIP malicioso que contiene el payload de Grandoreiro, disfrazado de PDF u otro archivo benigno.
Se ejecutó una muestra de Grandoreiro dentro del entorno limitado interactivo de ANY.RUN. Vemos en el análisis del sandbox que el malware se envía a través de un correo electrónico disfrazado de documento importante. El correo incluye un enlace que dirige al usuario a una página web.
El usuario es redirigido a una página web donde se muestra una imagen con un logo de PDF junto con el texto «Documento PDF». A continuación, comienza a descargarse un archivo llamado «Fact1575612671912320.zip» en la computadora.
Dentro del archivo se encuentra un archivo llamado «HUV_Fac_tura_JLDNUZEITXIY.exe», que usa un ícono de PDF para parecer confiable, pero su extensión real sigue siendo .EXE. Este es un método clásico utilizado para engañar a los usuarios para que ejecuten Grandoreiro.
Persistencia y comunicación C2
Después de la ejecución del cargador, la siguiente etapa implica la persistencia y la comunicación con el servidor de comando y control (C2).
Una vez que se ejecuta Grandoreiro, establece persistencia modificando el registro de Windows, asegurando que se inicie automáticamente cada vez que el usuario inicia sesión. Esto le ayuda a mantener un punto de apoyo en el sistema.
Dentro del sandbox, en el árbol de procesos para el ejecutable «HUV_Fac_tura_JLDNUZEITXIY.exe», se pueden observar todos los cambios de registro realizados por Grandoreiro.
Algunos cambios clave en el registro incluyen:
- ProxyBypass: esta clave permite que el malware omita configuraciones del servidor proxy. Al establecer el valor en «1», garantiza que pueda comunicarse libremente con sus servidores C2.
- IntranetName: esta clave modifica el nombre de la zona de intranet en la Configuración de Internet del registro de Windows. El malware a menudo aprovecha esta clave para comunicarse con recursos internos o filtrar información confidencial.
Grandoreiro permanece oculto dentro del sistema, ejecutándose en segundo plano. Se conecta a sus servidores C2 para enviar información robada, incluidas credenciales y datos potencialmente confidenciales, a los atacantes.
Robo de datos
Grandoreiro utiliza técnicas de ingeniería social para robar credenciales y eludir medidas de seguridad como la autenticación de dos factores (2FA).
Una vez que los operadores de malware tienen acceso al sistema de la víctima, utilizan superposiciones bancarias falsas. Estas superposiciones imitan pantallas de inicio de sesión bancarias legítimas o formularios de aprobación de transacciones. Cuando los usuarios inician sesión en su cuenta bancaria o inician una transacción, sin saberlo, interactúan con estas superposiciones fraudulentas. Esto permite a los atacantes robar credenciales de inicio de sesión en tiempo real.
Además, los operadores engañan a los usuarios para que proporcionen códigos 2FA simulando errores o solicitando al usuario que vuelva a ingresar el código bajo la apariencia de un problema del sistema. Dado que la 2,FA suele entregarse a través de SMS, los atacantes pueden interceptar los mensajes o convencer a los usuarios para que los introduzcan en la superposición falsa.
Los operadores también utilizan bloqueadores de pantalla para evitar que los usuarios interfieran mientras se produce el ataque, permitiéndoles robar fondos o realizar otras actividades maliciosas sin ser molestados.