Guildma: malware bancario che utilizza e-mail, Facebook e YouTube per diffondersi

I suoi ricercatori ESET, secondo recenti analisi di trojan bancari interessando l'America Latina, procedette alla sua anatomia Gilda.

Σin particolare, procedeva all'anatomia dei più potenti e avanzati trojan bancario che avessero mai incontrato da questo gruppo in quella zona: i Gilda. Questo malware prende di mira specificamente gli istituti bancari, cercando di rubare credenziali per account di posta elettronica, e-shop e servizi di streaming in Brasile.

Ha infettato almeno 10 volte più vittime di altri trojan bancari latinoamericani analizzati da ESET. Durante il periodo del boom - un'enorme campagna nel 2019 - ESET aveva registrato fino a 50.000 attacchi al giorno. Guildma si diffonde esclusivamente tramite e-mail non richieste con allegati dannosi.

In una delle sue ultime versioni, Guildma ha utilizzato un nuovo modo di distribuire i server di comando e controllo, abusando dei profili su YouTube e Facebook. Tuttavia, i suoi operatori hanno smesso di utilizzare Facebook quasi immediatamente e, almeno in questa fase, si affidano interamente a YouTube.

«Guildma utilizza metodi di esecuzione molto innovativi e tecniche di attacco sofisticate. L'attacco vero e proprio è orchestrato dal server C&C. In questo modo, i suoi operatori possono reagire in modo più flessibile alle contromisure applicate dalle banche in caso di attaccoSpiega Robert Šuman, ricercatore ESET che guida il team di analisi di Guildma.

Guildma ha più funzioni backdoor, come acquisire schermate, registrare sequenze di tasti, simulare funzioni di mouse e tastiera, bloccare le scorciatoie (come disabilitare Alt + F4 per rendere più difficile la scomparsa di finestre false) e/o riavviare.

Inoltre, Guildma ha un'architettura altamente modulare, attualmente composta da almeno 10 moduli. Il malware utilizza strumenti già presenti sulla macchina e riutilizza i propri metodi. «Di tanto in tanto vengono aggiunte nuove tecniche, ma per la maggior parte gli sviluppatori sembrano riutilizzare le tecniche delle versioni precedenti.", dice Šuman.

In una delle sue prime edizioni Gilda nel 2019 è stata aggiunta la possibilità di rivolgersi a istituzioni (principalmente banche) al di fuori del Brasile. Negli ultimi 14 mesi, tuttavia, ESET non ha rilevato alcuna campagna internazionale al di fuori del paese. In effetti, gli aggressori sono arrivati ​​al punto di bloccare i download da indirizzi IP al di fuori del Brasile.

Le campagne di Guildma sono aumentate lentamente fino alla massiccia campagna dell'agosto 2019, quando il team di ricerca ESET ha registrato fino a 50.000 campioni al giorno. Questa campagna è continuata per quasi due mesi, raggiungendo più del doppio della quantità di rilevamento osservata 10 mesi prima.

fonte