Un troyano bancario brasileño altamente sofisticado llamado TCLBANKER, rastreado bajo la campaña REF3076, representa una actualización importante de las familias más antiguas Maverick y SORVEPOTEL.

Destaca porque utiliza un instalador de Logitech falso y firmado para infectar sistemas y se propaga automáticamente a través de WhatsApp y Microsoft Outlook.

El ataque comienza cuando un usuario descarga un archivo ZIP malicioso. Dentro de este archivo hay un instalador que abusa de un programa real de Logitech, firmado digitalmente, llamado Logi AI Prompt Builder.

Al utilizar una técnica conocida como DLL side-loading, los hackers engañan a la aplicación legítima de Logitech para que cargue un archivo malicioso en lugar de sus componentes normales del sistema. Una vez activado, este cargador oculto toma el control del sistema para preparar las siguientes etapas del ataque.

TCLBANKER está cuidadosamente construido para esconderse de los investigadores de seguridad. Antes de descomprimirse por completo, verifica si el ordenador se está ejecutando en un entorno de pruebas (sandbox) de seguridad. Busca herramientas de depuración, máquinas virtuales y software antivirus específico.

También comprueba el idioma del sistema y la zona horaria para asegurarse de que la víctima se encuentra realmente en Brasil. Si el entorno no coincide con el de un usuario brasileño real, la carga útil se niega a descifrarse, manteniendo el malware completamente oculto de los escáneres de seguridad automatizados.

El malware TCLBANKER tiene como objetivo a los usuarios

Una vez que el malware confirma que está en la máquina de una víctima real, lanza el troyano bancario principal.

Esta herramienta monitoriza continuamente el navegador web del usuario para detectar si visita uno de los 59 bancos, plataformas de tecnología financiera o sitios web de criptomonedas seleccionados. Cuando encuentra una coincidencia, el malware se conecta a un servidor remoto.

Para robar contraseñas, el troyano utiliza superposiciones de pantalla completa creadas con Windows Presentation Foundation de Microsoft. Estas capas cubren toda la pantalla y se ven exactamente como avisos bancarios reales o pantallas oficiales de Windows Update.

Congelan el escritorio, bloquean accesos directos del teclado como la tecla Windows o Escape, y desactivan las herramientas de captura de pantalla para que la víctima no pueda grabar el fraude. El usuario se ve obligado a introducir sus códigos de seguridad o números de identificación personal directamente en la pantalla falsa del hacker.

Lo que hace que TCLBANKER sea increíblemente peligroso es su capacidad de propagarse automáticamente. El primer módulo de gusano ataca a WhatsApp Web. El malware escanea el ordenador en busca de navegadores web como Chrome o Edge y busca cuentas de WhatsApp activas.

En lugar de pedir al usuario que escanee un nuevo código QR, el malware clona secretamente los datos de la sesión guardada. Luego abre una ventana de navegador oculta, elude la detección de bots y envía mensajes de phishing y el archivo del malware directamente a los contactos de la víctima. Debido a que los mensajes provienen de un amigo de confianza, es muy probable que las nuevas víctimas descarguen el archivo.

Elastic Security Labs ha descubierto que el segundo módulo de gusano se centra en el correo electrónico. Abre silenciosamente Microsoft Outlook en segundo plano y utiliza la automatización COM de Windows para tomar el control total de la cuenta de correo electrónico de la víctima.

El bot busca en la libreta de direcciones y en la bandeja de entrada para recolectar contactos. Luego redacta correos electrónicos de phishing completamente nuevos y los envía desde la dirección de correo real del usuario infectado. Esta técnica elude fácilmente los filtros de seguridad de correo electrónico estándar porque los correos se originan desde una fuente legítima y confiable.

Toda esta actividad maliciosa se gestiona mediante herramientas de nube sin servidor como Cloudflare Workers. Al utilizar servicios de nube legítimos, los atacantes pueden cambiar rápidamente sus servidores y evitar ser bloqueados por defensas de red simples.

Los hackers también alojan sus archivos maliciosos en Cloudflare, haciendo que los enlaces de descarga parezcan seguros para el usuario promedio. Los investigadores señalan que esta campaña se encuentra todavía en sus etapas iniciales, lo que sugiere que los actores de la amenaza probablemente se estén preparando para ampliar sus objetivos.

Para protegerte contra TCLBANKER, las organizaciones deben buscar procesos en segundo plano inusuales generados por aplicaciones de Logitech.

Los equipos de seguridad deben monitorizar la clonación no autorizada de perfiles de navegador y vigilar picos inusuales de correos electrónicos salientes desde Microsoft Outlook. El uso de protección avanzada de endpoints que detecte superposiciones de pantalla completa no autorizadas también es esencial para mantener los sistemas a salvo de esta amenaza en evolución.

IoC

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionadamente (ej. [.] ) para evitar la resolución accidental o el enlace dinámico. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.