ESET hizo un análisis del virus conocido como Grandoreiro como parte de una serie de investigación sobre troyanos bancarios en América Latina. Este troyano bancario tiene como objetivo a usuarios de países como Brasil, México, España y Perú, y se caracteriza por las tácticas que implementa para evadir su detección.
Grandoreiro se distribuye únicamente a través de spam, está activo al menos desde 2017 en Brasil y Perú y desde 2019 en México y España. Sus creadores utilizan de señuelo una actualización falsa de Java o Flash para ingresar al sistema, aunque recientemente también aprovecha el temor generado por el COVID-19 al enviar un correo spam sobre este tema.
Este troyano ataca desplegando ventanas emergentes falsas que intentan engañar a las víctimas (haciéndoles creer que se trata de ventanas legítimas de su banco) para que divulguen información confidencial. Al igual que los demás troyanos bancarios latinoamericanos analizados por ESET, éste cuenta con funcionalidades de backdoor que le permite manipular ventanas, actualizarse, registrar las pulsaciones de teclado, simular acciones de mouse y teclado, obtener direcciones URL del navegador de la víctima, cerrar sesión de la víctima o reiniciar el equipo y bloquear el acceso a sitios web elegidos por el hacker.
Además, recopila información como el nombre de la computadora, el nombre de usuario, lista de productos de seguridad instalados y algunas versiones de Grandoreiro también roban las credenciales almacenadas en Google Chrome y los datos almacenados en Microsoft Outlook.
Camilo Gutiérrez, jefe del Laboratorio de Investigación de ESET Latinoamérica, dijo que una característica que distingue a Grandoreiro es el esfuerzo que realiza para evitar ser detectado, al recurrir a varias técnicas, entre ellas un uso de relleno binario, que no habíamos visto antes, con lo que se dificulta deshacerse del mismo mientras se mantiene un archivo válido.
