Troyano Remcos busca robar información sensible de empresas y organismos de Colombia

El equipo de investigaciones de ESET Latinoamérica analizó una campaña activa especialmente dirigida a empresas y organismos públicos de Colombia. A través de correos falsos que suplantan la identidad de distintas entidades conocidas, como son bancos, entidades financieras o servicios de mensajería, los cibercriminales utilizan excusas como un supuesto envío o un asunto jurídico urgente que de no atenderse llevaría a alguna acción legal. El objetivo es descargar en los equipos de las víctimas el conocido troyano Remcos, el cual tiene capacidades de robar información sensible del equipo infectado, como credenciales y otro tipo de datos y enviarlo a los atacantes.

La actividad maliciosa comenzó a detectarse a mediados de marzo de 2024, principalmente en Colombia y apuntando en particular a empresas del rubro de la construcción, los servicios automotores, así como entidades gubernamentales e incluso a usuarios hogareños.

Correos de Phishing muy convincentes

Los cibercriminales en esta campaña demuestran un conocimiento sobre sus posibles víctimas y generan engaños más creíbles, aumentando sus posibilidades de éxito.

Se ha notado que la distribución de los correos electrónicos tiene características de Spear Phishing —pesca con lanza— en el que los cibercriminales seleccionan a sus víctimas, previa investigación y planificación del ataque dirigido a un blanco específico —a diferencia del phishing donde el envío es más masivo, como si fuera pescar con red.

Troyano con capacidades de robar información sensible

Una vez que el usuario cae en el engaño y descarga el archivo adjunto ejecutará en la máquina de la víctima Remcos, un troyano con capacidades de robar información sensible y que puede recolectar desde registro de las teclas que pulsa la víctima o hasta capturas de pantalla, para enviar la información a un servidor controlado por los cibercriminales.

Remcos es un software de administración remota legítimo, que no fue desarrollado con fines maliciosos, pero que, por sus características, se convirtió en una herramienta utilizada por cibercriminales para realizar campañas de espionaje u otras actividades maliciosas.

Acceso inicial

Esta amenaza llega a través de un correo electrónico como un archivo malicioso comprimido adjunto. Durante la etapa de análisis, se recolectaron diferentes correos electrónicos que los cibercriminales han utilizado para propagar este código malicioso.

La ingeniería social detrás de la propagación es bastante variada, los cibercriminales se suplantan la identidad de diferentes tipos de entidades, por ejemplo entidades financieras o servicios de mensajería. El contenido de estos correos es diverso, pero se ha visto que está relacionado con la supuesta entrega satisfactoria de un envío o relacionados con procesos jurídicos o alguna mora que conllevaría una supuesta acción legal.