En el contexto del reciente corte de luz masivo en Chile, actores de amenaza han desplegado una nueva campaña de distribución del troyano bancario Mekotio, suplantando al Ministerio de Energía con el mensaje: «Alerta de Posible Apagón Eléctrico«.
Método de Ataque
Los atacantes inducen a las víctimas a descargar un archivo MSI no malicioso que corresponde al software de administración remota PDQ Connect (archivo firmado digitalmente y con 0 detecciones en VirusTotal). Sin embargo, tras la instalación del agente, los atacantes instalan el payload malicioso de Mekotio de forma remota, comprometiendo el dispositivo de la víctima.
Indicadores de Compromiso
Los dominios utilizados para la distribución del malware incluyen:
- meridianeyecare[.]com
- inovia[.]com[.]ao
- greatcreekcanines[.]com
- gptplan[.]ro
Los servidores de Comando y Control (C&C) identificados son:
- 95[.]164[.]22[.]60:7957
- molejo[.]online:7957
Alcance de la Campaña
El panel de monitoreo indica al menos 106 descargas e instalaciones potenciales, lo que sugiere un nivel de propagación significativo. Este ataque representa una amenaza directa a usuarios que acceden a plataformas financieras desde equipos comprometidos, facilitando el robo de credenciales bancarias y otra información sensible.
Sobre el Web Kit utilizado para la distribución
Los analistas de CronUp lograron acceso al kit de distribución utilizado por los operadores de Mekotio donde se puede visualizar, por ejemplo, los paises atacados por este grupo de amenaza, entre ellos: Perú, Uruguay, Argentina, Bolivia, México, Chile, España, Ecuador, Colombia y Portugal.
Recomendaciones de Seguridad
Para mitigar riesgos, se recomienda:
- No descargar archivos desde fuentes desconocidas o enlaces sospechosos.
- Verificar siempre la autenticidad de los comunicados gubernamentales.
- Mantener soluciones de seguridad actualizadas con protección contra malware.
- Utilizar autenticación multifactor para accesos a cuentas bancarias.
Referencias
Investigadores de seguridad @joy_dragon (https://x.com/joy_dragon) y @Merlax_ (https://x.com/Merlax_)
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
