Entre las amenazas más destacadas analizadas durante 2020 y lo que llevamos de 2021 que han afectado a usuarios españoles, las campañas protagonizadas por los troyanos bancarios con origen en América Latina han sido una de las más activas. Durante meses hemos ido analizando numerosos casos detectados en España, explicando las técnicas usadas por los delincuentes y los cambios que han ido realizando para seguir consiguiendo nuevas víctimas y ahora podemos, por fin, informar de una operación policial que ha logrado detener a parte de la infraestructura de los grupos criminales detrás de estas amenazas.
Operación Aguas Vivas
Hace unos días, tanto desde el Ministerio del Interior como desde la propia Guardia Civil se nos informaba de la detención de 16 personas en varios puntos de la geografía española relacionadas con las bandas responsables de los troyanos bancarios Mekotio y Grandoreiro. Según la nota de prensa, la operación también permitió bloquear la transferencia de 3’5 millones de euros tras analizar más de 1.800 correos electrónicos.
La Guardia Civil informó además del esclarecimiento de 20 delitos de estafa que estaban siendo investigados, por un importe total de 276.470 euros, de los que se han recuperado 87.000 euros. Además, los investigadores detectaron una actividad sospechosa en al menos 68 cuentas de correo electrónico pertenecientes a organismos oficiales, cuyos sistemas ya estaban infectados con variantes de los troyanos «Mekotio» y «Grandoreiro.
Todo apunta a que las 16 personas detenidas en varios puntos de España serían las encargadas de recoger el dinero sustraido de las cuentas bancarias las víctimas y enviarlos a los grupos de delincuentes responsables de desarrollar estas amenazas. Recordemos que estos troyanos bancarios están preparados para robar credenciales de acceso a un elevado número de entidades bancarias, tras lo cual proceden a realizar transferencias desde la cuenta de las víctimas hasta otras cuentas controladas por muleros o incluso realizar transferencias por BIZUM o sacar dinero en metálico desde cajeros.
Métodos de propagación
Desde ESET España hemos documentado la evolución de estas familias de troyanos con un importante numero de artículos hablando de estas familias desde inicios de 2020. El importante impacto que han tenido estas amenazas en España también se ha visto reflejado en otros países de nuestro entorno y los delincuentes han ido realizando cambios conforme pasaban los meses.
Una de las características más particulares de estas familias de troyanos tiene relación con su método de propagación. Los delincuentes han estado usando numerosas plantillas de correos electrónicos para tratar de convencer a los usuarios que los recibían. Así pues, hemos visto como los delincuentes han suplantado a organismos oficiales como el Ministerio de Trabajo, la Agencia Tributaria, el Ministerio de Sanidad o la propia Guardia Civil.
Además, también se han suplantado empresas como Correos, Vodafone, Mercadona, Telefónica o Endesa, por poner solo algunos de los numeroso ejemplos analizados durante el pasado año y medio. Sin embargo, en los últimos meses hemos observado como los delincuentes han preferido enviar estos correos con asuntos genéricos mencionando supuestas facturas pendientes de pago, facturas electrónicas, recibos de servicios tributarios, bloqueos judiciales, comprobantes de transferencia bancaria y correos con un burofax online.
Por si fuera poco, los delincuentes responsables de estas amenazas han utilizado en alguna ocasión métodos menos habituales para propagarse como, por ejemplo, la descarga desde webs pornográficas o la utilización de un falso vídeo que se compartía usando Facebook Messenger.
Expansión de los troyanos bancarios latinoamericanos
A pesar de que estas y otras familias de troyanos bancarios eran conocidas desde hace por los investigadores de ESET y, en especial por nuestros compañeros de ESET Latinoamérica, no fue hasta 2020 que los delincuentes responsables de su desarrollo y propagación decidieron dar el salto y comenzaron a afectar a países europeos, siendo España su principal objetivo.
Esta expansión fuera de su zona habitual de actuación fue acompañada de un incremento en la sofisticación de ambas familias de malware, si bien es cierto que Grandoreiro es un malware que lleva desarrollándose desde 2016, mientras que Mekotio empezó su actividad el pasado 2020. Su expansión por el territorio europeo despertó el interés de investigadores y fuerzas policiales, lo que ha permitido la operación realizada por la Guardia Civil.
Esta operación policial demuestra la importancia que han cobrado estas familias de troyanos dentro del mundo del cibercrimen, provocando pérdidas entre las víctimas infectadas que se pueden cuantificar en el orden de millones de euros y demostrando que la campaña europea ha resultado especialmente provechosa para los delincuentes.
Conclusión
La detención de delincuentes relacionados con amenazas que han estado afectando de forma importante a usuarios de nuestro país siempre son buenas noticias. Sin embargo, no debemos olvidar que los grupos responsables de desarrollar estos troyanos se ubican a miles de kilómetros de distancia y hasta que no se realicen operaciones policiales en sus lugares de residencia no podremos estar tranquilos, por lo que debemos seguir protegiéndonos con soluciones de seguridad que han demostrado ser eficaces para detectar y bloquear estas amenazas.