{"id":814,"date":"2026-05-08T19:42:00","date_gmt":"2026-05-08T19:42:00","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/08\/el-troyano-bancario-tclbanker-ataca-plataformas-financieras-a-traves-de-gusanos-de-whatsapp-y-outlook-cyberdefensa-mx\/"},"modified":"2026-05-08T19:42:00","modified_gmt":"2026-05-08T19:42:00","slug":"el-troyano-bancario-tclbanker-ataca-plataformas-financieras-a-traves-de-gusanos-de-whatsapp-y-outlook-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/08\/el-troyano-bancario-tclbanker-ataca-plataformas-financieras-a-traves-de-gusanos-de-whatsapp-y-outlook-cyberdefensa-mx\/","title":{"rendered":"El troyano bancario TCLBANKER ataca plataformas financieras a trav\u00e9s de gusanos de WhatsApp y Outlook \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los cazadores de amenazas han detectado un troyano bancario brasile\u00f1o previamente indocumentado denominado <strong>TCLBANKER<\/strong> que es capaz de apuntar a 59 plataformas bancarias, fintech y de criptomonedas.<\/p>\n<p>La actividad est\u00e1 siendo rastreada por Elastic Security Labs bajo el nombre <strong>REF3076<\/strong>. Se considera que la familia de malware es una actualizaci\u00f3n importante de Maverick, que se sabe que aprovecha un gusano llamado SORVEPOTEL para propagarse a trav\u00e9s de WhatsApp Web a los contactos de la v\u00edctima. La campa\u00f1a Maverick se atribuye a un grupo de amenazas que Trend Micro llama Water Saci.<\/p>\n<p>En el centro de la cadena de ataque se encuentra un cargador con s\u00f3lidas capacidades antian\u00e1lisis que implementa dos m\u00f3dulos integrados: un troyano bancario con todas las funciones y un componente de gusano que utiliza WhatsApp y Microsoft Outlook para su propagaci\u00f3n.<\/p>\n<p>\u00abLa cadena de infecci\u00f3n observada incluye un instalador MSI malicioso dentro de un archivo ZIP\u00bb, afirman los investigadores de seguridad Jia Yu Chan, Daniel Stepanic, Seth Goodwin y Terrance DeJesus. <a href=\"https:\/\/www.elastic.co\/security-labs\/tclbanker-brazilian-banking-trojan\">dicho<\/a>. \u00abEstos paquetes de instalaci\u00f3n de MSI est\u00e1n abusando de un programa firmado por Logitech llamado Logi AI Prompt Builder\u00bb.<\/p>\n<p>El malware aprovecha la carga lateral de DLL contra la aplicaci\u00f3n para iniciar una DLL maliciosa (\u00abscreen_retriever_plugin.dll\u00bb), que funciona como un cargador con un \u00absubsistema de vigilancia integral\u00bb que vigila continuamente las herramientas de an\u00e1lisis, entornos sandbox, depuradores, desensambladores, herramientas de instrumentaci\u00f3n y software antivirus para evitar la detecci\u00f3n.<\/p>\n<p>Espec\u00edficamente, la DLL maliciosa solo se ejecutar\u00e1 si fue cargada por \u00ablogiaipromptbuilder.exe\u00bb (el programa Logitech) o \u00abtclloader.exe\u00bb (probablemente una referencia a un ejecutable utilizado durante las pruebas). Tambi\u00e9n elimina cualquier gancho de modo de usuario colocado por el software de seguridad de endpoints dentro de \u00abntdll.dll\u00bb reemplazando la biblioteca y desactiva la telemetr\u00eda de seguimiento de eventos para Windows (ETW).<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Es m\u00e1s, el malware genera tres huellas digitales basadas en comprobaciones antidepuraci\u00f3n y antivirtualizaci\u00f3n, comprobaciones de informaci\u00f3n del disco del sistema y comprobaciones de idioma, us\u00e1ndolas para crear un valor hash ambiental que se utiliza para descifrar la carga \u00fatil incorporada. La verificaci\u00f3n del idioma del sistema garantiza que el idioma predeterminado del usuario sea el portugu\u00e9s brasile\u00f1o.<\/p>\n<p>\u00abPor ejemplo, si hay un depurador presente, producir\u00e1 un hash incorrecto, por lo que cuando el malware intente derivar las claves de descifrado del hash, la carga \u00fatil no se descifrar\u00e1 correctamente y TCLBANKER dejar\u00e1 de ejecutarse\u00bb, explic\u00f3 Elastic.<\/p>\n<p>El principal componente lanzado despu\u00e9s de estas comprobaciones es el troyano bancario que verifica una vez m\u00e1s si se est\u00e1 ejecutando en un sistema brasile\u00f1o y luego procede a establecer la persistencia mediante una tarea programada. Posteriormente, se dirige a un servidor externo con una solicitud HTTP POST que contiene informaci\u00f3n b\u00e1sica del sistema.<\/p>\n<p>TCLBANKER tambi\u00e9n incorpora un mecanismo de actualizaci\u00f3n autom\u00e1tica y un monitor de URL que extrae la URL actual de la barra de direcciones del navegador en primer plano usando <a href=\"https:\/\/thehackernews.com\/2025\/07\/new-coyote-malware-variant-exploits.html\">Automatizaci\u00f3n de la interfaz de usuario. Este paso est\u00e1 dirigido a navegadores populares como Google Chrome, Mozilla Firefox, Microsoft Edge, Brave, Opera y Vivaldi.<\/a><\/p>\n<p>La URL extra\u00edda se compara con una lista codificada de instituciones financieras espec\u00edficas. Si hay una coincidencia, establece una conexi\u00f3n WebSocket con un servidor remoto y entra en un bucle de env\u00edo de comandos, lo que permite al operador realizar una amplia gama de tareas:<\/p>\n<ul>\n<li>Ejecutar comandos de shell<\/li>\n<li>Capturar capturas de pantalla<\/li>\n<li>Iniciar\/detener la transmisi\u00f3n de pantalla<\/li>\n<li>Manipular el portapapeles<\/li>\n<li>Iniciar un registrador de teclas<\/li>\n<li>Controlar remotamente el mouse\/teclado<\/li>\n<li>Administrar archivos y procesos<\/li>\n<li>Enumerar los procesos en ejecuci\u00f3n<\/li>\n<li>Listar ventanas visibles<\/li>\n<li>Ofrecer superposiciones falsas de robo de credenciales<\/li>\n<\/ul>\n<p>Para llevar a cabo el robo de datos, TCLBANKER se basa en un marco de superposici\u00f3n de pantalla completa basado en Windows Presentation Foundation (WPF) para realizar ingenier\u00eda social utilizando indicaciones de recolecci\u00f3n de credenciales, pantallas de espera vishing, barras de progreso falsas y actualizaciones de Windows falsas, todo mientras oculta superposiciones de las herramientas de captura de pantalla.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Al mismo tiempo, el cargador invoca el m\u00f3dulo de desparasitaci\u00f3n para propagar el troyano a trav\u00e9s de mensajes de spam y phishing a escala. Emplea un enfoque doble que involucra un gusano web de WhatsApp que secuestra sesiones autenticadas del navegador y un robot de correo electr\u00f3nico de Outlook que abusa de Microsoft Outlook para enviar correos electr\u00f3nicos falsos a los contactos de la v\u00edctima.<\/p>\n<p>Como en el caso de SORVEPOTEL, el gusano WhatsApp recupera una plantilla de mensajer\u00eda del servidor y aprovecha el proyecto de c\u00f3digo abierto WPPConnect para automatizar el env\u00edo de mensajes a otros usuarios, al tiempo que filtra grupos, transmisiones y n\u00fameros no brasile\u00f1os.<\/p>\n<p>El agente Outlook, por otro lado, es un robot de spam de correo electr\u00f3nico que abusa de la aplicaci\u00f3n Microsoft Outlook instalada por la v\u00edctima para enviar correos electr\u00f3nicos de phishing desde la direcci\u00f3n de correo electr\u00f3nico de la v\u00edctima, evitando as\u00ed los filtros de spam y dando a los mensajes una ilusi\u00f3n de confianza.<\/p>\n<p>\u00abTCLBANKER refleja una maduraci\u00f3n m\u00e1s amplia que se est\u00e1 produciendo en todo el ecosistema de troyanos bancarios brasile\u00f1os\u00bb, concluy\u00f3 Elastic. \u00abLas t\u00e9cnicas que alguna vez fueron el sello distintivo de los actores de amenazas m\u00e1s sofisticados: descifrado de carga \u00fatil controlado por el entorno, generaci\u00f3n directa de llamadas al sistema, orquestaci\u00f3n de ingenier\u00eda social en tiempo real a trav\u00e9s de WebSocket, ahora se est\u00e1n empaquetando en software criminal\u00bb.<\/p>\n<p>\u00abLa campa\u00f1a hereda la confianza y la capacidad de entrega de las comunicaciones leg\u00edtimas al secuestrar las sesiones de WhatsApp y las cuentas de Outlook de las v\u00edctimas. Este es un modelo de distribuci\u00f3n que los portales de correo electr\u00f3nico tradicionales y las defensas basadas en la reputaci\u00f3n no est\u00e1n bien equipados para detectar\u00bb.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los cazadores de amenazas han detectado un troyano bancario brasile\u00f1o previamente indocumentado denominado TCLBANKER que es capaz de apuntar a 59 plataformas bancarias, fintech y de criptomonedas. La actividad est\u00e1 siendo rastreada por Elastic Security Labs bajo el nombre REF3076. Se considera que la familia de malware es una actualizaci\u00f3n importante de Maverick, que se [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[347,1050,24,2387,2359,2388,213,2386,76,2385,1151],"class_list":["post-814","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-ataca","tag-bancario","tag-cyberdefensa-mx","tag-financieras","tag-gusanos","tag-outlook","tag-plataformas","tag-tclbanker","tag-traves","tag-troyano","tag-whatsapp"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/814","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=814"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/814\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=814"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=814"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=814"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}