Los troyanos bancarios latinoamericanos siguen estando de actualidad. En esta ocasión, desde ESET Research, el laboratorio global de inteligencia sobre amenazas de la firma eslovaca de ciberseguridad, ponen el foco en Numando, un troyano bancario escrito en Delphi que, principalmente, se dirige a Brasil. Y en menor medida, también a España y México.
Troyano bancario Numando: ¿cómo actúa?
Al igual que otras familias de malware, Numando hace uso de ventanas de navegador superpuestas fraudulentas, capacidades de puerta trasera y servicios públicos como YouTube para almacenar su configuración remota. Sin embargo, no muestra signos de desarrollo continuo.
En el caso de las ventanas superpuestas, su objetivo es conseguir información sensible de las víctimas. Y por lo que respecta a las capacidades de puerta trasera, facilitan que este troyano bancario pueda simular las acciones del ratón y del teclado, reiniciar y apagar el ordenador, tomar capturas de pantalla o eliminar los procesos del navegador.
Entre las nuevas técnicas, los expertos destacan que Numando usa archivos ZIP, aparentemente inútiles, o agrupa cargas útiles maliciosas con imágenes BMP, sospechosamente grandes, usadas como señuelos. En cuanto a su distribución, suele ser por malspam.
Una constante desde principios de 2020
Sobre el tiempo que lleva propagándose, se cree que el troyano bancario Numando está operativo desde 2018. “Aunque no esté tan activo como Grandoreiro y Mekotio, el malware ha sido utilizado constantemente desde que empezamos a rastrearlo, aportando nuevas e interesantes técnicas al conjunto de trucos de los troyanos bancarios latinoamericanos”, comenta Jakub Souček, coordinador del equipo de ESET que ha analizado Numando.
Como ha informado Segurilatam, Grandoreiro y Mekotio dieron el salto a Europa y a finales del año pasado se detectaron campañas basadas en correos electrónicos enviados a usuarios de Alemania, Bélgica, Eslovaquia, Francia, Países Bajos, Reino Unido y Suiza.
Las campañas de troyanos bancarios procedentes de América Latina son una constante desde principios de 2020, lo cual significa que los ciberdelincuentes están consiguiendo beneficios con ellas.
Archivado en:
