Cuidado con Virus Bancario

Este es un mensaje enviado supuestamente por el Grupo Financiero Banamex, ofreciendo un antivirus gratuito.

Estaba claro que es algún tipo de malware, se ha descargado el ejecutable antivirus2.exe, y ningún antivirus de Virus lo daba como positivo.

Le he echado un ojo, y efectivamente es un troyano bancario destinado a Banamex. antivirus2.exe es un ejecutable comprimido con SFX-RAR, si se lanza ejecuta el troyano que trae en su interior, fix.exe, y abre el Internet Explorer con la URL de www.banamex.com.

El troyano es bastante espartano, se limita a modificar el archivo hosts de Windows, para hacer que cuando el usuario vaya a una de las URLs de banamex.com en realidad lo redirija a otra IP (72.232...) donde han hospedado unas páginas de phishing simulando la web de Banamex. Es lo que se suele llamar un pharming local.

Alguno podría pensar que parte del problema de la no detección de los antivirus es por la compresión SFX-RAR del ejecutable con el que se presenta, pero la realidad es que es un formato bien soportado por la mayoría de antivirus. De hecho, si se analiza el troyano fix.exe directamente, el resultado es el mismo.

Tengan mucho cuidado con estos mensajes, porque pueden robarles los códigos de su cuenta bancaria.

Fuente: blog.hispasec