Akamai ha confirmado el primer caso observado de abuso del framework UI Automation (UIA) de Microsoft por parte de un malware in-live. Se trata del troyano bancario Coyote, descubierto recientemente y centrado en Latinoamérica. El incidente fue reportado inicialmente por el usuario @johnk3r en Twitter.
Confirmación de la explotación activa
«Hasta ahora, la explotación era solo una prueba de concepto (PoC)», escribe Akamai. «Aproximadamente dos meses después de la publicación de esa entrada de blog, nuestras preocupaciones se confirmaron cuando se observó una variante del troyano bancario Coyote abusando de UIA in-live».
Características del malware Coyote
Coyote es una familia conocida de malware descubierta en febrero de 2024 y que desde entonces ha causado daños significativos en Latinoamérica. Tras su descubrimiento, varios investigadores de seguridad analizaron sus operaciones técnicas. Uno de estos análisis fue publicado por Fortinet en enero de 2025.
El malware utiliza keylogging, superposiciones de phishing y ahora abuso de UIA para extraer datos financieros confidenciales. Se propagó inicialmente a través del instalador Squirrel, una herramienta comúnmente utilizada en aplicaciones legítimas, lo que facilita su distribución sigilosa.
Proceso de infección y técnicas empleadas
Una vez instalado, Coyote se comunica con su servidor C2 para extraer metadatos del sistema. Su objetivo principal es descubrir y comprometer las actividades bancarias o de criptomonedas de la víctima.
El malware utiliza la API GetForegroundWindow() para identificar la ventana activa, comparando su título con una lista predefinida de más de 75 URL de bancos y plataformas de intercambio. Si no encuentra coincidencias, recurre a UIA.
La automatización de la interfaz de usuario (UI) permite a las aplicaciones interactuar programáticamente con otras interfaces en ejecución. Coyote utiliza esta función para examinar elementos secundarios de la ventana activa, buscando barras de direcciones ocultas o datos de pestañas que puedan revelar el uso del sitio web financiero.
Impacto y consecuencias
Akamai destaca que este es el primer caso conocido de malware que abusa de UIA, un hito que podría indicar una adopción más amplia del marco en futuras cadenas de ataque. Los investigadores proporcionan demostraciones de prueba de concepto que muestran cómo UIA puede utilizarse no solo para la vigilancia, sino también para la manipulación activa.
Esto convierte a UIA en una herramienta potencial para el phishing de alta fidelidad, el secuestro de pestañas y la suplantación de identidad, especialmente en casos donde el sandbox del navegador o las protecciones de memoria puedan ofrecer cierto aislamiento.
Recomendaciones para defensores
El abuso de UIA por parte de Coyote pone de relieve la necesidad de que los defensores vayan más allá del análisis básico del comportamiento y busquen patrones de acceso a la interfaz de usuario entre procesos, especialmente entre ejecutables desconocidos o sin firmar.
«UIA ofrece varias ventajas a un atacante, incluyendo una solución sencilla para que los desarrolladores de malware analicen subelementos de otra aplicación», advierte Akamai.
Evolución de las técnicas de ataque
A medida que los atacantes evolucionan, también deben hacerlo las estrategias de detección y respuesta de endpoints (EDR). Los productos de seguridad tradicionales pueden tener dificultades para detectar técnicas basadas en UIA debido a su dependencia de las API integradas del sistema operativo y la interacción no intrusiva con la interfaz gráfica de usuario.