Il malware Grandoreiro, originario del Brasile, ha ripreso a farsi sentire in Messico, sfruttando la tecnica di DLL sideloading e l’inganno di software legittimi. L’attacco, alimentato da spam, continua a evolversi nonostante l’operazione di polizia del 2024.
Nel maggio 2026 Acronis Threat Research Unit (TRU) ha rilevato un nuovo ciclo di attività di Grandoreiro, un trojan bancario che ha già avuto una presenza significativa in Messico, Spagna e altri paesi latino‑americani. L’analisi dei dati di telemetria dei primi 30 giorni di giugno ha mostrato che il 40 % delle rilevazioni proviene dal Messico, seguito da Spagna (17 %), Perù (13 %) e Argentina (10 %).
Grandoreiro impiega la tecnica di DLL sideloading per eludere i controlli di sicurezza. In pratica, l’attaccante rinomina un’applicazione legittima – in questo caso Duplicate Files Finder – e inserisce una libreria di sistema falsa, mingwm10.dll, che contiene il codice malevolo. Quando l’applicazione viene avviata, il sistema carica la DLL dannosa, consentendo al malware di eseguire il proprio payload.
Il loader del trojan è altamente sofisticato: prima di stabilire una connessione con il server di comando e controllo (C2) effettua una serie di verifiche ambientali. Queste includono la ricerca di ambienti virtuali, sandbox, strumenti di sicurezza e configurazioni specifiche del sistema. Se l’ambiente è sospetto, il malware si blocca, evitando l’analisi e la sandboxing. Inoltre, il loader esamina l’indirizzo IP pubblico e la geolocalizzazione dell’utente, bloccando traffico proveniente da paesi non autorizzati.
Sebbene l’origine esatta del vettore di distribuzione non sia stata confermata, Acronis ha identificato un nome di file ZIP che ricorda una fattura e ha correlato questo pattern con le campagne precedenti di Grandoreiro. Ciò suggerisce che l’attacco sia probabilmente basato su spam: email di phishing che allegano il file ZIP compresso contenente l’eseguibile.
Nel gennaio 2024 un’operazione di polizia ha smantellato parte dell’infrastruttura di Grandoreiro, ma l’attività non è stata annullata. L’analisi di Acronis indica che il malware continua a evolversi, con nuove versioni che mantengono le stesse tecniche di evasione ma introducono miglioramenti nella cifratura delle stringhe e nella gestione delle comunicazioni C2. Il server C2 è stato offline durante l’analisi, ma lo studio statico ha confermato che il loader tenta di scaricare un payload secondario una volta stabilita la connessione.
Grandoreiro dimostra che, nonostante le operazioni di polizia e le campagne di mitigazione, i malware bancari possono rimanere attivi e adattarsi rapidamente. La combinazione di DLL sideloading, anti‑analisi avanzata e distribuzione tramite spam rende questa minaccia particolarmente pericolosa per gli utenti latino‑americani. Le autorità e le organizzazioni di sicurezza devono continuare a collaborare per monitorare l’evoluzione del malware e sviluppare contromisure efficaci.
Nota: l’attacco è stato identificato come una forma di banking trojan e non è stato associato a un singolo gruppo APT noto, ma la sua sofisticazione suggerisce una organizzazione ben strutturata.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
