Variantes de ZLoader afectan a entidades españolas

En ocasiones anteriores hemos podido observar cómo, a través de distintos correos electrónicos, los atacantes intentaban provocar que nos descargaramos archivos para infectar nuestros dispositivos. Las últimas tendencias, apuntaban a que sería el ransomware lo que más suscitaria el interés de los atacantes. Sin embargo, en esta ocasión nos encontramos ante un troyano bancario.

Recibimos un correo con el típico modus operandi de la factura pendiente. Esta incluye un documento de de Microsoft Office. Concretamente para esta oleada han predominado los documentos XLS.

Una vez abierto, nos encontramos con un contenido similar al que veremos a continuación:

Captura de pantalla del documento malicioso

El documento nos solicita habilitar el contenido. Lo que pretenden es que la victima habilite las macros para, mientras ojea el documento, se ejecute código malicioso.

Captura del codigo Powershell ejecutado

Este código, ofuscado para evitar que sea sencillo de analizar, se encarga de realizar descargas de distintos sitios web. En caso de que uno de los dos sitios web no responda hará uso del siguiente para continuar con su ataque.

hxxp://forminore.co/game-for-windows/keys.exe
hxxp://forstraus.co/dfhguserhivesbvhio-84u84jdfkvkdf/utilite.exe

Estos dos archivos .exe corresponden a un Terdot/ZLoader, un troyano bancario que roba datos de los clientes de las entidades incluidas en su configuración. Quedan almacenados en el directorio %APPDATA% del usuario, lugar donde rara vez mira el usuario común.

Algunos de los webinjects del troyano bancario.

La configuración del troyano cuenta con inyecciones de código para distintas entidades españolas, entre ellas:
Santander España
BMN
Abanca
Ruralvia
*.de (Entidades alemanas)
En el escaneo inicial, únicamente 8 motores antivirus detectaban la amenaza. Un par de días después, más de 40 motores lo detectaban.

Detecciones del troyano en VirusTotal.

La recomendación estrella en este tipo de ocasiones, a parte de contar con una base de datos de virus actualizada, es evitar habilitar las macros en documentos de este tipo. Si no estamos seguros de la procedencia del archivo, es preferible no abrirlo. Si procede de alguien conocido, siempre puedes asegurarte preguntando para evitar este tipo de infecciones.

Ver información original al respecto en Fuente:

saludos

ms, 25-8-2017