La empresa ESET España ha colaborado activamente en la investigación que culminó con la detención de varios miembros de un grupo de ciberdelincuentes responsables del troyano bancario Grandoreiro, identificado como S0531 según el catálogo MITRE. Este malware, activo desde 2017, ha sido utilizado principalmente en Brasil, México, España y Argentina.
Contribución de ESET en la investigación
ESET proporcionó inteligencia clave durante la investigación, incluyendo análisis técnicos, datos estadísticos, nombres de dominios y direcciones IP de servidores de comando y control (C&C). Gracias a un fallo de diseño en el protocolo de red de Grandoreiro, los investigadores pudieron observar su victimología.
Desde 2020, ESET España ha estado informando sobre las campañas relacionadas con esta botnet a través de su blog y en diversos eventos internacionales. Josep Albors, responsable de investigación de ESET España, explicó que desde el inicio de Grandoreiro en el país se ha realizado un seguimiento exhaustivo de sus variantes.
Funcionamiento del troyano
Grandoreiro monitorea periódicamente la ventana en primer plano para detectar procesos relacionados con navegadores web. Cuando identifica una ventana asociada a un banco, inicia comunicación con su servidor de C&C, enviando peticiones al menos una vez por segundo.
El operador debe interactuar manualmente con la máquina comprometida para robar el dinero de la víctima, permitiendo bloquear la pantalla, registrar teclas pulsadas, simular actividad del ratón y mostrar ventanas falsas.
Características técnicas
Grandoreiro ha experimentado un desarrollo constante. Jakub Souček, investigador de ESET que coordinó el análisis, explicó que el malware utiliza un algoritmo de generación de dominios (DGA) desde octubre de 2020, produciendo un dominio principal por día para establecer conexión con servidores C&C.
El troyano también se distingue por su mecanismo único de relleno binario que aumenta el tamaño del ejecutable final. Además, la implementación de su protocolo permitió a los investigadores analizar la victimología.
Distribución y tendencias
Según datos recopilados por ESET, el 66% de las víctimas utilizaban Windows 10, seguido de Windows 7 (13%), Windows 8 (12%) y Windows 11 (9%). España representa el 65% del total de víctimas, seguido de México (14%), Brasil (7%) y Argentina (5%).
En 2023 se observó una disminución significativa en la actividad de Grandoreiro en España, compensada con un aumento en campañas en México y Argentina.
Resultados de la operación
La investigación llevada a cabo por la Policía Federal de Brasil condujo a la identificación y detención de los responsables de los servidores utilizados por Grandoreiro.