Una nueva campaña de amenaza cibernética llamada «Horabot» ha sido descubierta por la firma de ciberseguridad Cisco Talos dirigida a usuarios de habla hispana en las Américas.
Horabot, un software botnet, está activo desde noviembre de 2020 y es responsable de distribuir un troyano bancario y una herramienta de spam. Según un aviso publicado por Cisco Talos a principios de hoy, se cree que el actor de amenazas detrás de la campaña se encuentra en Brasil.
Chetan Raghuprasad, investigador de ciberamenazas de Cisco Talos, ha explicado que el objetivo principal de los ataques han sido los usuarios hispanohablantes de México. Sin embargo, también se han registrado infecciones en Uruguay, Brasil, Venezuela, Argentina, Guatemala y Panamá.
Se han visto afectados varios sectores empresariales, como los de contabilidad, construcción, ingeniería, distribución mayorista y empresas de inversión.
Raghuprasad explicó que la campaña sigue una cadena de ataque en varias etapas que comienza con un correo electrónico de phishing en español disfrazado de notificación de recibo de impuestos.
Cuando las víctimas abren el archivo HTML adjunto, son redirigidas a otro archivo HTML malicioso alojado en una instancia de Amazon Web Services (AWS) Elastic Compute Cloud (EC2) controlada por el atacante. Este archivo incita a las víctimas a descargar un archivo RAR, iniciando el proceso de entrega de la carga útil.
Una vez instalado, el troyano bancario puede robar las credenciales de inicio de sesión de las víctimas, información del sistema operativo y pulsaciones de teclas. También puede obtener códigos de seguridad de un solo uso de aplicaciones bancarias en línea.
Además, la herramienta de spam puede comprometer cuentas de correo web como Yahoo, Gmail y Outlook, permitiendo al atacante controlar los buzones de correo, exfiltrar las direcciones de correo electrónico de los contactos y enviar mensajes de spam.
El aviso de Cisco Talos incluye una lista completa de indicadores de compromiso (IOC) para la amenaza Horabot, junto con directrices detalladas para ayudar a las organizaciones a protegerse contra este malware y mitigar su impacto potencial.
Su publicación se produce meses después de que el agente de amenazas DEV-0147, patrocinado por el Estado chino, fuera descubierto atacando entidades diplomáticas en Sudamérica.