Novas variantes do malware Grandoreiro evoluem para escapar da detecção

Novas variantes do malware bancário conhecido como Grandoreiro adotaram táticas mais sofisticadas para driblar medidas antifraude, destacando o contínuo desenvolvimento do software malicioso, apesar das tentativas das autoridades de desmantelar sua operação.

Novas variantes do malware bancário Grandoreiro surgem com táticas avançadas para evitar detecção

Segundo uma análise da Kaspersky divulgada na terça-feira, “apenas parte desta quadrilha foi presa: os demais operadores por trás do Grandoreiro seguem atacando usuários globalmente, desenvolvendo novos malwares e estabelecendo novas infraestruturas.”

Entre as novas táticas identificadas estão o uso de algoritmos de geração de domínios (DGA) para comunicação de comando e controle (C2), criptografia ciphertext stealing (CTS) e monitoramento de movimentos do mouse. Também foram observadas versões mais leves e locais do malware, focadas principalmente em clientes bancários no México.

Ativo desde 2016, o Grandoreiro evoluiu continuamente para se manter fora do radar, ampliando sua atuação para a América Latina e Europa. Ele é capaz de roubar credenciais de mais de 1.700 instituições financeiras em 45 países.

Evolução constante e modelo de negócio restrito

Operando sob o modelo de malware como serviço (MaaS), o Grandoreiro parece estar disponível apenas para criminosos cibernéticos selecionados e parceiros confiáveis. Uma das mudanças mais significativas deste ano foi a prisão de alguns membros da quadrilha, o que resultou na fragmentação do código base do malware.

Essa fragmentação resultou na existência de duas bases de código distintas: uma com amostras mais recentes e atualizadas, e outra com código legado, focada exclusivamente em usuários no México, atingindo clientes de aproximadamente 30 bancos.

O Grandoreiro é distribuído principalmente por e-mails de phishing, além de anúncios maliciosos veiculados no Google. Na fase inicial, um arquivo ZIP contém um arquivo legítimo e um carregador MSI, responsável por baixar e executar o malware.

Camuflagem e novos métodos de ataque

Campanhas observadas em 2023 utilizaram executáveis portáteis extremamente grandes (390 MB), disfarçados como drivers de SSD de dados externos da AMD, para evitar detecção por sandboxes.

O malware coleta informações sobre o sistema e a localização do IP. Ele também verifica se o nome de usuário contém os termos “John” ou “WORK” e, nesse caso, interrompe sua execução.