ESET ha anunciado el descubrimiento de una nueva campaña del troyano bancario brasileño Mispadu que estaría afectando especialmente a usuarios españoles.

“Que los troyanos bancarios brasileños han encontrado un filón entre los usuarios españoles ya no es ninguna novedad, puesto que llevamos meses viendo campañas de varias familias de este tipo de malware”, asegura Josep Albors, responsable de concienciación e investigación en ESET España.

El descubrimiento de esta campaña de propagación del troyano bancario Mispadu fue realizado recientemente por investigadores de ESET que encontraron un directorio abierto en una página que contenía un contador de visitas a una web y otros archivos interesantes. Entre estos archivos se encontraba un fichero de nombre “links.txt” que contenía un enlace a una URL y que descargaba un archivo ZIP comprimido. La URL llevaba a una sencilla web con contenido pornográfico donde se proporcionaba un enlace para descargar un fichero con supuestas fotografías y vídeos con este tipo de material.

En caso de que el archivo descargado, de nombre “load2.msi” (y que también puede encontrarse con el nombre “videosXS_caserasXC_fotosXV_982NA2020.msi“), fuese ejecutado por el usuario, comenzaría la cadena de infección preparada por los delincuentes, una serie de scripts en VBS que culminaban con la ejecución de una variante del troyano bancario Mispadu. El fichero ZIP alojado en la web también realizaba parte de la misma cadena de infección, por lo que es lógico pensar que se trata de un archivo usado en una campaña de propagación del troyano bancario Mispadu.

Uno de los aspectos curiosos de esta campaña consiste en el uso del portugués en la web a pesar de dirigirse a usuarios de habla hispana en México y España. “No es la primera vez que los investigadores detectan este tipo de campañas en portugués contra usuarios de estos países, ya que algunos delincuentes asumen que, al tratarse de lenguas con bastantes palabras iguales o similares, sus víctimas morderán el anzuelo igualmente”, concluye Albors.

ESET advierte de que esta campaña, aunque no ha tenido mucho éxito en México, sigue activa en España, donde los delincuentes la siguen gestionando cambiando las fotografías utilizadas como gancho y limpiando y actualizando algunos servidores usados para gestionar los sistemas infectados y las credenciales robadas y almacenar nuevas muestras. Por ello, desde la compañía se recuerda que es importante que los usuarios se protejan ante estas amenazas aprendiendo a reconocer los cebos que utilizan los delincuentes y utilizando soluciones de seguridad que sean capaces de detectar estos tipos de malware. Para más información, se puede consultar el artículo publicado en el blog Protegerse.com.