Wprowadzenie do problemu / definicja
Grandoreiro to zaawansowany trojan bankowy od lat obecny w krajobrazie zagrożeń Ameryki Łacińskiej. Malware jest wykorzystywany do kradzieży danych uwierzytelniających, przejmowania sesji bankowych, monitorowania aktywności użytkownika oraz zdalnego wykonywania działań na zainfekowanych stacjach roboczych.
Jednym z kluczowych elementów jego najnowszych kampanii pozostaje technika DLL sideloading. Polega ona na uruchomieniu złośliwej biblioteki DLL za pośrednictwem legalnego i zaufanego pliku wykonywalnego, co utrudnia wykrycie zagrożenia i zwiększa skuteczność infekcji.
W skrócie
- Grandoreiro wrócił w kampaniach wymierzonych w użytkowników i organizacje w Meksyku.
- Ataki rozpoczynają się najczęściej od phishingu związanego z fakturami, płatnościami lub dokumentami finansowymi.
- Łańcuch infekcji obejmuje wieloetapowe droppery, komponenty skryptowe oraz DLL sideloading.
- Celem operatorów jest kradzież danych bankowych, przejęcie sesji oraz wsparcie oszustw finansowych.
Kontekst / historia
Grandoreiro jest znanym trojanem bankowym aktywnym co najmniej od 2016 roku. W przeszłości był wiązany przede wszystkim z kampaniami prowadzonymi przeciwko użytkownikom w Brazylii, Hiszpanii, Portugalii i Meksyku. Na przestrzeni lat malware ewoluował z relatywnie prostych kampanii socjotechnicznych do rozbudowanych łańcuchów dostarczania, obejmujących archiwa, instalatory, skrypty i komponenty uruchamiane w pamięci.
Nowsze warianty są wyraźnie lepiej dostosowane do lokalnych rynków finansowych. Operatorzy rozwijają mechanizmy pozwalające omijać systemy bezpieczeństwa, utrudniać analizę w sandboxach oraz ograniczać skuteczność narzędzi EDR i klasycznych rozwiązań antywirusowych. Charakterystyczne stało się także nadużywanie legalnych plików wykonywalnych do ładowania spreparowanych bibliotek DLL.
Analiza techniczna
Technika DLL sideloading wykorzystuje sposób, w jaki system Windows oraz aplikacje wyszukują zależności bibliotek dynamicznych. Jeśli złośliwa biblioteka znajdzie się w ścieżce preferowanej przez legalny program, może zostać załadowana zamiast oczekiwanego komponentu. W efekcie kod atakującego działa w kontekście zaufanego procesu, co utrudnia detekcję i analizę incydentu.
W obserwowanych kampaniach infekcja zwykle zaczyna się od wiadomości phishingowej podszywającej się pod dokument finansowy, fakturę albo potwierdzenie płatności. Ofiara pobiera załącznik, często w postaci chronionego hasłem archiwum lub pliku prowadzącego do kolejnego etapu ataku. Następnie uruchamiany jest dropper, nierzadko oparty na HTA lub skryptach, który pobiera dalsze komponenty i przygotowuje środowisko dla właściwego ładunku.
Kolejny etap obejmuje dostarczenie pakietu zawierającego legalny plik wykonywalny oraz złośliwą bibliotekę DLL. Po uruchomieniu zaufanej aplikacji następuje załadowanie spreparowanej biblioteki do pamięci. To ona odpowiada za rozwinięcie ładunku Grandoreiro, ustanowienie trwałości w systemie i komunikację z infrastrukturą sterującą.
Badacze zwracają również uwagę na dodatkowe techniki utrudniające analizę. Należą do nich zaciemnianie ładunków, sztuczne powiększanie plików binarnych, monitorowanie aktywności użytkownika w przeglądarce oraz warunkowe uruchamianie zależne od języka systemu lub lokalizacji ofiary. W części kampanii obserwowano także trwałość realizowaną przez klucze autostartu w rejestrze Windows oraz precyzyjny dobór celów związanych z sektorem bankowym w Meksyku.
Z perspektywy obrony istotne jest to, że Grandoreiro nie pełni wyłącznie roli prostego stealer’a. To dojrzała platforma przestępcza, która może śledzić sesje bankowe, przechwytywać poświadczenia, wykonywać zdalne akcje na urządzeniu i wspierać oszustwa prowadzone niemal w czasie rzeczywistym.
Konsekwencje / ryzyko
Najpoważniejszym skutkiem infekcji pozostaje przejęcie dostępu do bankowości elektronicznej użytkownika lub pracownika organizacji. W środowiskach firmowych ryzyko rośnie szczególnie wtedy, gdy zainfekowany endpoint ma dostęp do systemów finansowych, poczty, danych klientów albo paneli administracyjnych.
DLL sideloading zwiększa skuteczność kampanii, ponieważ aktywność złośliwego kodu może mieszać się z normalnym działaniem legalnych procesów. To utrudnia wykrywanie zarówno na poziomie stacji roboczej, jak i w monitoringu SOC. Dodatkowo wieloetapowy łańcuch infekcji sprawia, że zablokowanie pojedynczego wskaźnika kompromitacji nie zawsze zatrzymuje cały atak.
Dla organizacji finansowych i firm obsługujących płatności zagrożenie ma wymiar operacyjny, reputacyjny i regulacyjny. Skuteczny incydent może prowadzić do strat finansowych, zakłóceń operacyjnych, naruszenia poufności danych oraz obowiązków związanych z raportowaniem naruszeń.
Rekomendacje
Organizacje powinny ograniczać skuteczność phishingu przez zaawansowane filtrowanie poczty, analizę załączników w odizolowanym środowisku oraz blokowanie plików wysokiego ryzyka, takich jak HTA, VBS, JS czy nieautoryzowane instalatory. Ważne jest także wdrożenie polityk uniemożliwiających uruchamianie skryptów i binariów z katalogów użytkownika, folderów tymczasowych oraz lokalizacji pobrań.
Na poziomie endpointów należy monitorować nietypowe przypadki ładowania bibliotek DLL przez legalne procesy, szczególnie jeśli pliki pochodzą z niestandardowych ścieżek. Dobrą praktyką jest również stosowanie AppLocker lub Windows Defender Application Control w celu ograniczenia uruchamiania niezatwierdzonego kodu.
Zespół SOC powinien korelować zdarzenia obejmujące pobranie archiwum z poczty, uruchomienie HTA lub skryptu, zapis nowych bibliotek DLL oraz utworzenie wpisów autostartu w rejestrze. W warstwie sieciowej warto wykrywać anomalie komunikacyjne pojawiające się po otwarciu dokumentów finansowych lub uruchomieniu nietypowych komponentów przez użytkownika.
Użytkownicy końcowi powinni zachować szczególną ostrożność wobec wiadomości dotyczących faktur, zaległych płatności i potwierdzeń przelewów, zwłaszcza jeśli zawierają hasłowane załączniki lub nakłaniają do pobrania archiwum. W środowiskach podwyższonego ryzyka wskazane jest wdrożenie silnego uwierzytelniania do systemów finansowych, segmentacji dostępu i dodatkowych mechanizmów weryfikacji transakcji.
Podsumowanie
Powrót Grandoreiro w kampaniach wymierzonych w Meksyk potwierdza, że trojany bankowe z regionu LATAM nadal szybko adaptują się do zabezpieczeń i utrzymują wysoką skuteczność dzięki połączeniu socjotechniki, wieloetapowych loaderów oraz DLL sideloading. To zagrożenie wykracza daleko poza klasyczny phishing i stanowi dojrzały ekosystem malware zaprojektowany do przejmowania sesji finansowych oraz omijania mechanizmów detekcji.
Dla zespołów bezpieczeństwa oznacza to konieczność jednoczesnej ochrony poczty, punktów końcowych, rejestru Windows i łańcucha ładowania bibliotek DLL. Skuteczna obrona wymaga korelacji zdarzeń z wielu warstw środowiska oraz szybkiego reagowania na nietypowe zachowania legalnych procesów.
Źródła
- https://www.infosecurity-magazine.com/news/grandoreiro-mexico-dll-sideloading/
- https://blog.scilabs.mx/en/2024/12/04/operation-saci-observed-during-november-2024/
- https://securelist.com/grandoreiro-banking-trojan/114257/
- https://attack.mitre.org/software/S0531/
- https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Behavior%3AWin32%2FGrandoreiro.F&ThreatID=2147828241