“Casbaneiro”: descubren un nuevo troyano bancario que roba criptomonedas

El laboratorio de Investigación de ESET, compañía de detección proactiva de amenazas, anunció el descubrimiento de un nuevo troyano bancario que está afectando a diversos países de Latinoamérica, principalmente a México y Brasil. Fue denominado "Casbaneiro" por el laboratorio de ESET, malware que comparte funcionalidades con la familia Amavaldo, ya que ambos utilizan el mismo algoritmo criptográfico y se distribuyen con herramientas similares que buscan aprovecharse del correo electrónico.

La familia Casbaneiro se aprovecha de la ingeniería social para engañar a las víctimas mediante ventanas y formularios emergentes fraudulentos. El vector inicial de ataque es el correo electrónico, el mismo método que utilizaba Amavaldo. Con estos ataques, los ciberdelincuentes invitan a la víctima a realizar ciertas acciones de forma urgente, como instalar una actualización de software o verificar una tarjeta o datos bancarios.

Una vez que se ha instalado en el dispositivo de la víctima, Casbaneiro utiliza comandos de backdoor (troyano que permite el acceso al sistema infectado y su control remoto permitiendo al atacante enviar, eliminar o modificar archivos, ejecutar programas, instalar herramientas maliciosas y extraer información de la víctima para enviársela a sí mismo, con el propósito de espiar y robar datos) para realizar capturas de pantalla, restringir el acceso a webs oficiales de entidades bancarias y registrar las pulsaciones en el teclado. Además, se utiliza para robar criptomonedas analizando los contenidos del portapapeles para chequear si hay datos sobre la cartera de criptomonedas de la víctima. En caso de encontrar estos datos, el malware reemplaza la información por los datos de la cartera del ciberdelincuente.

ESET identificó que Casbaneiro comenzó a abusar de YouTube para almacenar sus dominios de servidor C&C, registrando dos cuentas diferentes utilizadas para este fin por parte de los operadores de la amenaza: una centrada en recetas de cocina y la otra en fútbol. Cada video en estos canales contiene una descripción donde al final hay un enlace a una URL falsa de Facebook o Instagram. El dominio del servidor C&C se almacena en este enlace.