Hace unas horas sonaron las alarmas por un email enviado supuestamente por Bankia a sus clientes. En esta ocasión, los ciberdelincuentes se encargaron de enviar un falso email, imitando el diseño web de Bankia e informando en nombre de la entidad bancaria de la resolución de una incidencia en la cuenta bancaria del usuario y adjuntan un documento Word con información detallada del proceso. Un adjunto con un virus informático que, al abrir el documento, ejecuta el malware en el equipo: el troyano bancario TrickBot, afectando en las últimas hora a cientos de compañías y particulares.
Ya hemos visto cuáles son los asuntos más usados en el correo electrónico a los que recurren los ciberdelincuentes para hacernos morder el anzuelo. En esta ocasión, el nombre del documento Word adjunto no dista de esta realidad: DocumentoSeguro.doc. La macro del documento utiliza PowerShell (herramienta de Microsoft, incluida por defecto en Windows (a partir de Windows 7) para ejecutar el malware, una técnica habitual que está ganando mucha popularidad en los últimos tiempos, siendo utilizada en algunos de los ataques analizados por PandaLabs protagonizados por ransomware o incluso para infectar Terminales de Punto de Venta.
Trickbot es un troyano bancario compuesto por distintos módulos con diversa funcionalidad, aunque el uso más habitual es el robo de credenciales al acceder a determinadas páginas web como plataformas de pago, bancos y sitios de compra y venta de criptomoneda.
Una vez el Trickbot entra en ejecución, creará una carpeta llamada winapp en %APPDATA% donde guardará dos archivos característicos de Trickbot llamados client_id y group_tag para identificar el equipo infectado. Además, crea una carpeta llamada Modules donde ira guardando todas las DLLs correspondientes a los nuevos módulos que va descargándose. Para ganar persistencia y asegurar así su ejecución, creará una tarea programada en el equipo, que entrará en ejecución cada 3 minutos o cuando el usuario se loguea en el sistema.
Desde Panda Security hemos detectado cientos de ataques, pero ningún cliente ha sido afectado gracias al bloqueo de forma proactiva que realizamos de la amenaza con todas nuestras soluciones. Recomendamos no se activen las macros de un documento Word si no se está seguro que proviene de una fuente confiable.
Origen: Un troyano bancario utiliza Bankia en su último phishing
