Los usuarios brasile\u00f1os de Windows son el objetivo de una campa\u00f1a que ofrece un malware bancario conocido como Coyote<\/strong>.<\/p>\n “Una vez desplegado, el troyano de banca coyote puede llevar a cabo varias actividades maliciosas, que incluyen keylogging, capturar capturas de pantalla y mostrar superposiciones de phishing para robar credenciales sensibles”, investigadora de Fortinet Fortiguard Lin Cara Lin dicho<\/a> En un an\u00e1lisis publicado la semana pasada.<\/p>\n La compa\u00f1\u00eda de seguridad cibern\u00e9tica dijo que descubri\u00f3 durante el \u00faltimo mes varios artefactos de archivos de acceso directo de Windows (LNK) que contienen comandos de PowerShell responsables de entregar el malware.<\/p>\n Coyote fue documentado por primera vez por Kaspersky a principios de 2024, detallando sus ataques dirigidos a usuarios en la naci\u00f3n sudamericana. Es capaz de cosechar informaci\u00f3n confidencial de m\u00e1s de 70 aplicaciones financieras.<\/p>\n En la cadena de ataque anterior documentada por la firma de ciberseguridad rusa, un ejecutable de instalador de ardillas se utiliza para activar una aplicaci\u00f3n de nodo.js compilada con Electron, que, por su parte, ejecuta un cargador basado en NIM para activar la ejecuci\u00f3n de la carga \u00fatil de Coyote malicioso .<\/p>\n La \u00faltima secuencia de infecci\u00f3n, por otro lado, comienza con un archivo LNK que ejecuta un comando PowerShell para recuperar la siguiente etapa de un servidor remoto (“tbet.geontrigame[.]com “), otro script de PowerShell que lanza un cargador responsable de ejecutar una carga \u00fatil provisional.<\/p>\n “El c\u00f3digo inyectado aprovecha Donut, una herramienta dise\u00f1ada para descifrar y ejecutar las cargas \u00fatiles de MSIL (Microsoft Intermediate Language)”, dijo Lin. “El archivo de ejecuci\u00f3n de MSIL descifrado primero establece la persistencia modificando el registro en ‘Hcku Software Microsoft Windows CurrentVersion Run.'”<\/p>\n “Si se encuentra, elimina la entrada existente y crea una nueva con un nombre generado al azar. Esta nueva entrada de registro contiene un comando PowerShell personalizado que apunta a descargar y ejecutar una URL codificada por Base64, que facilita las funciones principales del troyano de banca coyota “<\/p>\n El malware, una vez lanzado, re\u00fane la informaci\u00f3n b\u00e1sica del sistema y la lista de productos antivirus instalados en el host, despu\u00e9s de lo cual los datos est\u00e1n codificados por Base64 y se exfiltran a un servidor remoto. Tambi\u00e9n realiza varias comprobaciones para evadir la detecci\u00f3n por sandboxes y entornos virtuales.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2025\/02\/Coyote-Malware-expande-el-alcance-ahora-se-dirige-a-1030.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n