Revolution Banking SP 2016

El troyano bancario Dridex se distribuye en un documento Word manipulado

By on 1 julio, 2015
Gdata Casper

Gdata logoUna campaña de spam ha estado distribuyendo el troyano Dridex en un archivo adjunto de Microsoft Word que simulaba ser una factura, según las investigaciones de G DATA SecurityLabs.

La realidad es que la extensión .doc del mencionado adjunto solo pretendía confundir a las víctimas pues en realidad camuflaba un documento MHTML, un formato web soportado por Microsoft Word. El archivo, que pretende hacerse pasar por una factura, solicita tener habilitadas las macros de Office para poder leerse correctamente. Una vez activadas, se desencadena la segunda fase del ataque y el malware conecta con el sitio legítimo pastebin.com para concluir la descarga del código malicioso (payload), en este caso el troyano bancario Dridex. Las Pymes, con independencia de su país de origen, son el objetivo principal de este tipo de estafas. Las soluciones de G DATA detectan y bloquean la amenaza.

Pastebin es una aplicación web que permite a sus usuarios compartir pequeños textos, generalmente ejemplos de código fuente, con el público en general. Los atacantes han elegido esta página por su legitimidad y porque resulta poco probable que las soluciones de seguridad la incluyan en una posible lista negra.

Por su parte, el troyano Dridex permite a los atacantes no solo espiar las transacciones bancarias de sus víctimas o el robo de datos personales, sino la instalación de nuevo malware y el envío de spam. Las soluciones de G DATA detectan y bloquean la amenaza.

Las macros

Las macros son utilizadas para automatizar procesos y unificar tareas que pasan a realizarse de forma secuencial en un solo clic. Algunas macros representan un riesgo potencial para la seguridad. Pues pueden ser utilizadas para introducir comandos maliciosos en un archivo e e infectar con malware los sistemas atacados. Por este motivo, están deshabilitados por defecto en Microsoft Office

Los usuarios nunca deberían abrir los archivos adjuntos que reciben en correos electrónicos procedentes de remitentes desconocidos y deberían sospechar de aquellas facturas inesperadas que responde a servicios desconocidos o no contratados. Antes de abrir los mencionados adjuntos, conviene hacerse las siguientes preguntas:

  • ¿He hecho algún tipo de pedido online?
  • En caso afirmativo, ¿el correo está escrito en el mismo lenguaje que el de la tienda online donde realice el pedido?
  • ¿Contiene el correo electrónico errores ortográficos, gramaticales o palabras poco habituales?
  • ¿Incluye el correo electrónico información personal como nuestro nombre correcto como destinatario, dirección, número de cliente o pedido?

En caso de duda, el adjunto no debería ser nunca abierto. Además, bajo ninguna circunstancia se deberían habilitar las macros a petición de una fuente desconocida y no de absoluta confianza.

Más información aquí

Deja un comentario