Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
¿Qué es el malware Bandok?
Bandook (también escrito Bandok o Bandook RAT) es un troyano de acceso remoto (RAT) con todas las funciones, escrito en Delphi y C++, observado por primera vez en el mundo real alrededor de 2007. Está disponible comercialmente y se ha vendido y alquilado a múltiples actores de amenazas, tanto grupos criminales como presuntos operadores de espionaje vinculados a estados, lo que lo convierte en una de las familias de RAT con más tiempo de circulación activa. Describir a Bandook únicamente como un keylogger subestima de forma significativa su conjunto de capacidades.
El registro de pulsaciones de teclas es solo uno de sus muchos módulos. Sus capacidades documentadas incluyen:
Acceso de shell remoto que genera shells de comandos de Windows interactivos (cmd.exe) y ejecuta comandos de forma remota (T1059.003)
Gestión de archivos: lista, recopila, descarga, sube y elimina archivos en los sistemas comprometidos (T1005, T1083, T1105, T1070.004)
Manipulación de procesos: inyecta y vacía procesos legítimos de Windows para su ejecución y evasión (T1055, T1055.012)
Captura de pantalla: toma capturas de pantalla del escritorio de la víctima (T1113)
Captura de audio: graba audio a través de micrófonos conectados (T1123)
Registro de pulsaciones de teclas: captura las pulsaciones del teclado (T1056.001)
Acceso a webcam: accede a dispositivos de cámara en los endpoints comprometidos -
Abuso de intérpretes de scripts: ejecuta payloads basados en PowerShell, VBScript, Python y Java (T1059.001, T1059.005, T1059.006)
Comunicaciones C2 cifradas: usa canales cifrados con AES para el comando y control y la exfiltración de datos (T1573.001, T1041)
Persistencia basada en el registro: establece entradas de inicio automático para sobrevivir a los reinicios (T1547). Esta amplitud de capacidades convierte a Bandook en una plataforma de vigilancia y espionaje, no solo en una utilidad de captura de datos.
¿Cuándo se descubrió Bandok por primera vez?
Bandok se identificó por primera vez en octubre de 2010. Se cree que su desarrollo y despliegue están vinculados a grupos cibercriminales organizados, aunque la atribución detallada es limitada debido a los sofisticados métodos de propagación del malware.
¿Quién creó Bandok?
Bandook se entiende mejor como un kit de malware de uso compartido en lugar de una herramienta controlada exclusivamente por un solo autor o grupo. El RAT subyacente está disponible comercialmente desde al menos 2007, lo que significa que múltiples actores de amenazas no relacionados entre sí lo han desplegado de forma independiente en distintas campañas y periodos de tiempo.
¿A qué apunta Bandok?
Bandok suele apuntar a sistemas basados en Windows y se ha observado que afecta tanto a individuos como a organizaciones. Sus víctimas abarcan varias industrias, incluidas instituciones financieras, comercio electrónico y gobiernos, con un enfoque principal en la extracción de credenciales confidenciales.
Método de distribución de Bandok
Bandok se propaga a través de correos de phishing, archivos adjuntos maliciosos y sitios web comprometidos. Con frecuencia emplea tácticas engañosas, como archivos con macros habilitadas, disfrazados para engañar a los usuarios y lograr que los ejecuten, lo que hace de la ingeniería social un vector de distribución crítico.
Análisis técnico del malware Bandok
Bandok opera infiltrándose en los sistemas de las víctimas mediante una entrega de payload inicial, a menudo a través de archivos adjuntos de correo o descargas automáticas. Una vez ejecutado, establece persistencia al inyectarse en procesos legítimos como msinfo32.exe, lo que le permite evadir la detección. Las funciones principales de Bandok incluyen registro de pulsaciones de teclas, captura de pantalla y exfiltración de datos, todo realizado de forma sigilosa para no alertar a las víctimas.
Tácticas, técnicas y procedimientos (TTPs)
Persistencia mediante inyección de procesos
Acceso a credenciales mediante registro de teclas y robo del portapapeles
Evasión de defensas mediante código ofuscado y mecanismos antidepuración
Indicadores de compromiso (IoCs)
Los IoCs de Bandok varían significativamente entre campañas y grupos de actores, ya que el RAT está
disponible comercialmente y es usado por múltiples actores de amenazas independientes. Los IoCs
específicos de cada campaña publicados por Check Point (2020) y Lookout/EFF (Dark Caracal, 2018)
son las fuentes autorizadas principales.
¿Cómo saber si estás infectado con Bandok?
Los síntomas de una infección por Bandok incluyen ralentizaciones inesperadas del sistema, tráfico saliente no reconocido y archivos faltantes o alterados. Las herramientas de seguridad también pueden detectar intentos repetidos de inyección de procesos o actividades remotas no autorizadas en los endpoints afectados.
Instrucciones para eliminar Bandok
La eliminación manual de Bandok es riesgosa y solo debe intentarse con experiencia avanzada. Utiliza las herramientas de detección y remediación administradas de Huntress para aislar la amenaza de forma segura, eliminar los archivos infectados y restaurar los sistemas comprometidos. Emplea soluciones de Detección y respuesta para endpoints (EDR) para una protección continua.
¿Sigue activo Bandok?
Sí, Bandok sigue siendo una amenaza activa y en evolución. A lo largo de los años han surgido variantes, lo que demuestra lo adaptable y persistente que es esta familia de malware al atacar organizaciones.
Estrategias de mitigación y prevención
Prevenir infecciones de Bandok requiere un enfoque de múltiples capas. La aplicación regular de parches de software, habilitar la autenticación multifactor (MFA) y la capacitación de los empleados sobre los riesgos de phishing son esenciales. Considera los servicios de monitoreo y remediación 24/7 de Huntress para detectar y neutralizar amenazas como Bandok antes de que escalen.
Artículos educativos y videos relacionados
Preguntas frecuentes sobre Bandok
Bandok es un troyano keylogger diseñado para capturar información confidencial de los usuarios registrando las pulsaciones de teclas y robando datos. Se infiltra en los sistemas mediante phishing, archivos adjuntos maliciosos y kits de explotación antes de alojarse para evadir la detección.
Bandok suele infectar los sistemas mediante correos con ingeniería social que contienen archivos adjuntos dañinos, sitios web comprometidos o descargas automáticas. Su capacidad para manipular a los usuarios y hacer que ejecuten su payload sin saberlo lo hace muy eficaz.
Sí, Bandok sigue evolucionando con la aparición de nuevas variantes. Su capacidad de adaptación y el uso de técnicas de ofuscación lo mantienen vigente y peligroso en el panorama de la ciberseguridad.
Las organizaciones deben implementar estrategias sólidas de ciberseguridad, que incluyan gestión de parches, soluciones EDR, capacitación sobre phishing y monitoreo continuo de la red. Los servicios de Huntress brindan una capa adicional de protección contra las infecciones de Bandok.
