La preoccupante crescita dei trojan bancari sudamericani

22 Dicembre 2021

In una lunga indagine durata più di due anni, Eset ha scovato 12 famiglie di questi malware. Molte di queste sono ancora attive. E alcune hanno raggiunto anche l’Europa…

Amavaldo, Casbaneiro, Mispadu, Guildma, Grandoreiro, Mekotio, Vadokrist, Ousaban, Numando e Janeleiro. Sono questi i nomi dei trojan bancari sudamericani identificati da Eset in una lunghissima indagine, iniziata ad agosto 2019 e conclusa ora.
Mekotio e Grandoreiro, afferma la società slovacca specializzata nella sicurezza, sono sbarcati anche in Europa, soprattutto in Spagna; quest’ultimo cavallo di Troia, insieme a Ousaban e Casbaneiro, fa supporre “che gli autori delle minacce dietro queste famiglie di malware siano determinati a continuare le loro azioni malevole contro gli utenti presenti nei paesi target”, afferma una nota di Eset.
Le campagne criminali, prosegue l’azienda, si presentano sempre a ondate e più del 90% è diffuso con spam e indirizzato a un archivio Zip o a un installer Msi. Di solito, una campagna non dura più di una settimana.
“Il Brasile è ancora il paese più bersagliato, seguito da Spagna e Messico”, ha affermato Jakub Souček, ricercatore di Eset. “Grandoreiro e Mekotio si sono espansi in Europa dal 2020. Ciò che è iniziato con svariate campagne minori, probabilmente per testare il nuovo territorio, si è evoluto in qualcosa di molto più grande. Infatti, in agosto e settembre 2021, Grandoreiro ha lanciato la sua più grande campagna finora e ha preso di mira la Spagna”.
Caratteristica di questi cavalli di Troia, l’abilità di cambiare rapidamente. Ma la loro installazione non è così semplice: “perché l’attacco abbia successo”, sottolinea Souček, “devono essere soddisfatte molte condizioni. Le potenziali vittime devono seguire i passi necessari per installare il malware sulle loro macchine; devono visitare un sito web mirato e accedere ai propri conti. Dall’altro lato, gli operatori devono reagire a questa situazione, guidando manualmente il malware per visualizzare la finta finestra pop up e prendere il controllo della macchina della vittima”.
Ma non tutti i cavalli di Troia identificati sono ancora in circolazione: Krachulka, Lokorrito e Zumanek sono infatti inattivi. Ma sembra che ci sia un certo riciclo: Janeleiro, l’ultimo trojan bancario a essere stato scoperto, ha di fatto sostituito malware che hanno esaurito la loro funzione.

Foto di Gerd Altmann da Pixabay