Introducción
El presente artículo aborda el análisis de una cadena de infección relacionada con un malware que se ha propagado en Argentina y América Latina. El malware, identificado como troyano bancario MISPADU (también conocido como URSA), se propaga principalmente a través de correos electrónicos falsos que imitan documentos oficiales, como multas, facturas o citaciones.
Características del malware
MISPADU es un troyano bancario cuyo origen no está claramente establecido. Aunque se sospecha que podría tener su origen en Brasil, comparte similitudes con otros tipos de malware como Mekotio, Casbaneiro, Grandoreiro, Javali y Lampion.
Proceso de infección
El proceso de infección comienza cuando un usuario recibe un correo electrónico que le notifica sobre una factura pendiente de una empresa de telecomunicaciones. El mensaje incluye un enlace para descargar la supuesta factura, lo cual desencadena el inicio del proceso de infección.
Al hacer clic en el enlace, se muestra una página web que indica que se está cargando la factura. Posteriormente, el usuario es redirigido a un sitio web que facilita la descarga del primer componente malicioso.
Sitio de descarga
El sitio de descarga utilizado en este caso es http://214.124.168.184.host.secureserver[.net/?facdigital-web/ConsultaTelecom.aspx?nroFactura=9203.
Estructura del archivo descargado
El archivo descargado es un paquete comprimido que contiene un archivo de aplicación HTML (.hta) y un directorio «oculto» con un ejecutable legítimo denominado GoogleUpdate.exe. Cuando el usuario ejecuta manualmente este archivo, se inicia el programa mshta.exe, utilizado para abrir archivos de tipo .hta.
A través de este proceso, se realiza una consulta al sitio web, lo que permite la ejecución de un script JavaScript presente en dicho sitio. Este script descarga un archivo de Visual Basic y lo ejecuta mediante la consola de comandos de Windows (CMD).
Conclusión
El análisis detalla el mecanismo de infección del troyano MISPADU, destacando su propagación a través de correos electrónicos falsos y la estructura del archivo descargado. La cadena de infección observada es similar a la analizada por la empresa Morphisec.