El Ministerio del Interior de España ha anunciado la detención de 16 personas relacionadas con los grupos de ciberdelincuencia Grandoreiro y Melcoz (también conocidos como Mekotio). Ambos son originarios de Brasil y forman parte del paraguas Tetrade, operando desde hace algunos años en América Latina y Europa Occidental.

Grandoreiro es una familia de malware troyano bancario que inicialmente inició sus operaciones en Brasil. De manera similar a otras dos familias de malware, Melcoz y Javali, Grandoreiro primero expandió sus operaciones a otros países de América Latina y luego a Europa Occidental. Hemos sido testigos de las campañas de Grandoreiro desde al menos 2016, con los atacantes mejorando técnicas regularmente, esforzándose por permanecer sin ser detectados y activos durante períodos de tiempo más largos. Según nuestro análisis de campañas, hemos visto a Grandoreiro operar como un proyecto de Malware-as-a-Service (MaaS).

Desde enero de 2020, nuestra telemetría muestra que Grandoreiro ha atacado principalmente a Brasil, México, España, Portugal y Turquía.

Por otro lado, Melcoz (también conocido como Mekotio) es una familia de troyanos bancarios desarrollada por el grupo Tetrade que ha estado activa desde al menos 2018 en Brasil, antes de que decidieran expandirse al exterior. Encontramos al grupo atacando activos en Chile en 2018 y, más recientemente, en México. También hay víctimas probables en otros países, ya que algunos de los bancos objetivo tienen operaciones internacionales. Generalmente, el malware usa scripts AutoIt o VBS, agregados a archivos MSI, que ejecutan DLL maliciosos usando la técnica DLL-Hijack, con el objetivo de eludir las soluciones de seguridad. Este malware roba contraseñas de los navegadores y de la memoria del dispositivo, proporcionando acceso remoto para capturar el acceso a la banca por Internet. También incluye un módulo de robo de billetera Bitcoin.

Si comparamos a Grandoreiro y Melcoz en términos de proliferación, queda claro que Grandoreiro es más agresivo cuando se dirige a víctimas en todo el mundo.

¿Qué podemos esperar ahora tras la detención de 16 personas en España? Es notable la labor realizada por la Guardia Civil de España en la tramitación de estas detenciones. Sin embargo, dado que ambas familias de malware son de Brasil, las personas detenidas en España son solo operadores. En otras palabras, los creadores de Grandoreiro y Melcoz probablemente permanecerán en Brasil, donde pueden desarrollar nuevas técnicas de malware y reclutar nuevos miembros en sus países de interés.