Un conocido troyano bancario llamado Horabot ha resurgido en una campaña activa dirigida a usuarios en México, combinando una cadena de infección de múltiples etapas con un gusano de correo electrónico que convierte cada máquina comprometida en un repetidor de phishing. La amenaza incluye un troyano bancario basado en Delphi junto con un propagador impulsado por PowerShell, lo que la convierte en una de las amenazas financieras más complejas y estratificadas

Un conocido troyano bancario llamado Horabot ha reaparecido en una campaña activa que afecta a usuarios en México, combinando una cadena de infección de múltiples etapas con un gusano de correo que convierte cada máquina comprometida en un repetidor de phishing.

La amenaza incluye un troyano bancario basado en Delphi junto con un propagador impulsado por PowerShell, lo que la convierte en una de las amenazas financieras más complejas vistas en América Latina.

El ataque comienza con una página falsa de CAPTCHA que instruye a las víctimas a abrir el cuadro de diálogo Ejecutar de Windows y pegar un comando malicioso. En lugar de explotar una vulnerabilidad de software, los atacantes engañan a los usuarios para que ejecuten un archivo HTA malicioso que inicia silenciosamente la cadena de infección.

Este método evita muchas defensas de endpoints al convertir a la víctima en un participante involuntario de su propio compromiso.

Analistas de Securelist identificaron esta campaña después de que una alerta de ejecución sospechosa de *mshta* se activara en un entorno de cliente monitorizado.

El equipo rastreó la actividad hasta una página falsa de CAPTCHA y mapeó toda la cadena de ataque al investigar la infraestructura del adversario.

Durante ese proceso, los investigadores encontraron un registro de víctimas expuesto en el propio servidor del atacante, revelando 5.384 máquinas infectadas —5.030, o aproximadamente el 93%, ubicadas en México—. Los registros se remontaban a mayo de 2025, confirmando que la operación llevaba meses en marcha antes de ser detectada.

Los actores de la amenaza muestran claros vínculos con Brasil. Los comentarios dentro del código PowerShell del propagador estaban escritos en portugués brasileño coloquial, y la clave de cifrado utilizada para la descodificación de recursos hacía referencia a la frase “pega a visão”, que significa “captar la idea” en jerga brasileña.

Los correos de phishing distribuidos por el gusano están escritos en español y se hacen pasar por facturas falsas o documentos comerciales confidenciales dirigidos a receptores mexicanos.

El troyano bancario Delphi —también rastreado como Casbaneiro, Ponteiro y Metamorfo— utiliza ventanas emergentes superpuestas falsas de bancos para robar credenciales de inicio de sesión durante sesiones bancarias activas.

El gusano de correo también recopila direcciones de contacto de la bandeja de entrada de la víctima a través del espacio de nombres MAPI y envía correos de phishing a cada una, adjuntando un PDF malicioso que reinicia todo el ciclo de infección.

Mecanismo de infección de múltiples etapas

Lo que distingue a esta campaña no es solo su carga útil, sino la elaborada ruta de entrega. Cada etapa introduce una nueva capa de ofuscación antes de que llegue el malware final.

Tras ejecutarse el archivo HTA, este descarga un cargador JavaScript desde un dominio controlado por el atacante, que luego obtiene y ejecuta un VBScript ofuscado.

Este VBScript utiliza polimorfismo del lado del servidor —entregando una versión ligeramente diferente del código en cada solicitud para evadir la detección basada en firmas—.

Un segundo VBScript, más complejo y de más de 400 líneas, actúa como el motor de la operación: recopila la dirección IP de la víctima, el nombre del host, el nombre de usuario y la versión del sistema operativo antes de enviar esos datos a un servidor de comando y control.

Deposita componentes de AutoIT en el disco, coloca un acceso directo LNK en la carpeta de Inicio para persistencia y descarga la siguiente etapa.

El script de AutoIT descifra un blob cifrado con AES-192 utilizando una clave derivada del valor semilla 99521487 y carga la DLL resultante directamente en memoria —esa DLL es el troyano bancario—.

Se comunica con su servidor C2 a través de un protocolo TCP personalizado, envolviendo los comandos en etiquetas estructuradas, con todo el tráfico cifrado mediante un cifrado XOR con estado.

La salida se enmarca entre dobles marcadores "##", un patrón lo suficientemente raro en el tráfico legítimo como para servir como una firma de detección en red confiable.

Los analistas señalaron que la estructura rígida y repetitiva del cifrado en realidad facilita su detección con una regla estándar de IDS.

Los equipos de seguridad deberían bloquear la ejecución de archivos HTA desde fuentes no confiables y monitorear de cerca la actividad sospechosa de *mshta*.

Implementar las reglas YARA publicadas tanto para el troyano Delphi Horabot como para el cargador AutoIT, junto con la regla Suricata que apunta al patrón de tráfico C2 con los dobles "##", ayudará a detectar infecciones tempranas.

Todos los indicadores de compromiso compartidos —incluyendo los dominios controlados por el atacante y las direcciones de socket— deben añadirse a las listas de bloqueo de red sin demora.

La formación en concienciación de usuarios sobre señuelos de CAPTCHA falsos y archivos PDF con botones incrustados sigue siendo una capa de defensa crítica.