Un troyano bancario denominado Mispádu se ha vinculado a múltiples campañas de spam dirigidas a países como Bolivia, Chile, México, Perú y Portugal con el objetivo de robar credenciales y entregar otras cargas útiles.
La actividad, que comenzó en agosto de 2022, está actualmente en curso, dijo Ocelot Team de la firma latinoamericana de ciberseguridad Metabase Q en un informe compartido con The Hacker News.
Mispádu (alias URSA) fue documentado por primera vez por ESET en noviembre de 2019, describiendo su capacidad para perpetrar el robo monetario y de credenciales y actuar como una puerta trasera al tomar capturas de pantalla y capturar pulsaciones de teclas.
«Una de sus principales estrategias es comprometer sitios web legítimos, buscar versiones vulnerables de WordPress, convertirlos en su servidor de comando y control para propagar malware desde allí, filtrar países que no desean infectar, dejar caer diferentes tipos de malware basado en el país infectado», dijeron los investigadores Fernando García y Dan Regalado.
También se dice a compartir similitudes con otros troyanos bancarios dirigidos a la región, como Grandoreiro, Javalíy Lampión. Las cadenas de ataque que involucran el malware Delphi aprovechan los mensajes de correo electrónico que instan a los destinatarios a abrir facturas vencidas falsas, lo que desencadena un proceso de infección de varias etapas.
Si una víctima abre el archivo adjunto HTML enviado a través del correo electrónico no deseado, verifica que el archivo se abrió desde un dispositivo de escritorio y luego se redirige a un servidor remoto para obtener el malware de primera etapa.
El archivo RAR o ZIP, cuando se inicia, está diseñado para hacer uso de certificados digitales falsos, uno que es el malware Mispadu y el otro, un instalador de AutoIT, para decodificar y ejecutar el troyano abusando del legítimo. utilidad de línea de comandos certutil.
Mispadu está equipado para recopilar la lista de soluciones antivirus instaladas en el host comprometido, desviar las credenciales de Google Chrome y Microsoft Outlook y facilitar la recuperación de malware adicional.
Descubra los peligros ocultos de las aplicaciones SaaS de terceros
¿Conoce los riesgos asociados con el acceso de aplicaciones de terceros a las aplicaciones SaaS de su empresa? Únase a nuestro seminario web para conocer los tipos de permisos que se otorgan y cómo minimizar el riesgo.
Esto incluye un cuentagotas ofuscado de Visual Basic Script que sirve para descargar otra carga útil de un dominio codificado, una herramienta de acceso remoto basada en .NET que puede ejecutar comandos emitidos por un servidor controlado por actor y un cargador escrito en Rust que, en a su vez, ejecuta un cargador de PowerShell para ejecutar archivos directamente desde la memoria.
Además, el malware utiliza pantallas superpuestas maliciosas para obtener credenciales asociadas con portales de banca en línea y otra información confidencial.
Metabase Q señaló que el enfoque de certutil ha permitido a Mispadu eludir la detección de una amplia gama de software de seguridad y recolectar más de 90 000 credenciales de cuentas bancarias de más de 17 500 sitios web únicos.