El troyano bancario Mekotio ha estado nuevamente presente en campañas maliciosas que están dirigidas a diversos países de Iberoamérica, mostrando una evolución técnica en sus vectores de ataque y capacidades de evasión. Esta variante emplea una serie de tácticas para maximizar su eficacia en el robo de credenciales bancarias y la exfiltración de datos sensibles.
Descripción del ataque
La campaña sigue el modus operandi de las amenazas persistentes, iniciándose con correos de phishing que contienen enlaces maliciosos diseñados para parecer legítimos. Estos correos se distribuyen masivamente a usuarios desprevenidos, apelando a temas como citaciones judiciales o deudas pendientes.
El enlace del correo es hxxps://203.21.205.92 [.]host.secureserver[.]net/?finanzas.busqueda
Tras acceder a este enlace, la víctima es redirigida a un servidor que descarga un archivo malicioso en formato comprimido:
– Payload: hxxps:// 135.53.167.72[.]host.secureserver[.]net/download/
Este archivo contiene scripts batch ofuscados diseñados para ejecutar código malicioso en el host comprometido.
Segunda etapa de la infección
Una vez desplegado el payload inicial, el troyano contacta con los servidores de comando y control (C&C) en:
– Segunda etapa: `194.36.90.111` y `194.36.90.111:9099`
A partir de este punto, Mekotio establece una conexión persistente con los C&C, permitiendo la descarga de componentes adicionales, el monitoreo de actividades y la exfiltración de información confidencial.
Víctimas potenciales
En nuestro Github hemos desplegado una lista de víctimas potenciales, la cuales abarcan más de 5 países en la región.
Técnicas de evasión y persistencia
Mekotio utiliza una combinación de técnicas avanzadas para evitar la detección y asegurar su persistencia:
1. Ofuscación de scripts: Los archivos batch descargados contienen código intensamente ofuscado. Un ejemplo es el uso de cadenas de texto cifradas y variables con nombres generados aleatoriamente, como `qRe6ze`, para enmascarar el propósito del script. La ejecución de los comandos se realiza a través de la sintaxis `%qRe6ze:~X,Y%`, donde se extraen caracteres específicos de la cadena de texto original, complicando su análisis estático.
2. Cifrado simétrico de código remoto: La información descargada se cifra utilizando el parámetro `qBf0`, lo que requiere una clave simétrica para descifrar el código malicioso. Este enfoque dificulta el análisis dinámico y la detección por parte de soluciones antimalware.
3. Generación de cadenas aleatorias: Para dificultar aún más la detección, Mekotio genera cadenas aleatorias para los nombres de archivos y directorios temporales, lo que complica el rastreo manual o automatizado del malware.
4. Cifrado XOR: Mekotio emplea el cifrado XOR para proteger su código y comunicaciones. Una función específica toma cadenas de texto hexadecimal y las convierte en texto plano mediante operaciones XOR, utilizando una clave como `$SvN3ditr8E`.
5. Descarga y ejecución remota: Utilizando la clase `System.Net.WebClient` de Powershell, el troyano descarga y ejecuta contenido adicional desde servidores remotos, lo que le permite actualizar su payload o modificar sus tácticas en función del entorno de la víctima.
Comportamiento post-infección
Una vez que Mekotio se establece en el sistema de la víctima, el malware permanece latente hasta que detecta la interacción con un sitio web de banca en línea o un portal de pago. En ese momento, el malware despliega sitios falsos que imitan a los originales, capturando las credenciales bancarias de la víctima y enviándolas al servidor de C&C.
Además, se han observado consultas a WMI (Windows Management Instrumentation) para recolectar información sobre los procesos en ejecución en el sistema comprometido, así como la capacidad de realizar descargas de archivos ZIP adicionales desde un servidor remoto, ampliando las capacidades de infección.
Educación y prevención
Mekotio sigue demostrando una capacidad técnica para evadir mecanismos de detección y mantener persistencia en los sistemas infectados, de las cuales hemos hablado varias veces en nuestro blog de ciberseguridad. Las tácticas empleadas, como la ofuscación de código, cifrado simétrico y la descarga de payloads remotos, hacen que este troyano bancario sea una amenaza significativa para los sectores financieros y las infraestructuras críticas.
Las empresas deben, de la mano de la inversión en ciberseguridad, educar y sensibilizar a los usuarios. La clave de una estrategia de ciberseguridad exitosa radica en cambiar la cultura organizacional, entrenando a cada miembro de la empresa para que entienda y practique la ciberseguridad en su día a día.
En un entorno donde los atacantes desarrollan sus técnicas a una velocidad impresionante, es primordial que el eslabón más débil, el ser humano, esté preparado. Solo así avanzaremos hacia un entorno más seguro y resiliente.
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
