Guildma, el troyano bancario avanzado que está afectando en los últimos meses a bancos de Latinoamérica, con una especial incidencia en Brasil, tiene ya un impacto diez veces mayor que cualquier otro troyano analizado en la región por ESET, la mayor empresa de ciberseguridad de la Unión Europea. El pico de actividad de Guildma se alcanzó en agosto de 2019, con hasta 50.000 ataques diarios distribuidos exclusivamente a través de correos electrónicos con adjuntos maliciosos.
En una de sus versiones más recientes, Guildma emplea una nueva forma de distribuir los servidores de mando y control abusando de perfiles de Facebook y YouTube. Sin embargo, parece que los ciberdelincuentes han dejado de utilizar Facebook casi de forma inmediata para centrarse completamente en YouTube.
“Guildma hace uso de métodos muy innovadores de ejecución y de técnicas de ataque sofisticadas gestionadas desde su servidor de mando y control, por lo que los delincuentes disponen de una mayor flexibilidad para reaccionar a las medidas de defensa implantadas por los bancos afectados”, advierte Robert Suman, el investigador de ESET que lidera la investigación sobre este malware.
Guildma utiliza un backdoor, o puerta trasera, con diferentes funcionalidades, como la posibilidad de realizar capturas de pantalla, capturar las pulsaciones del teclado, emular el teclado y el ratón, bloquear accesos directos (por ejemplo, deshabilita la función Alt+F4 para complicar el bloqueo de las ventanas falsas que muestra), descargar y ejecutar archivos e incluso reiniciar la máquina. Además, Guildma está compuesto por, al menos, diez módulos y es capaz de aprovechar herramientas ya existentes en los ordenadores infectados y reutilizar sus propias técnicas. En una de las primeras versiones descubiertas en 2019, por ejemplo, Guildma era capaz de afectar a entidades financieras de fuera de Brasil, aunque ESET no ha encontrado campañas masivas fuera del país en los últimos 14 meses.
