Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
¿Qué es el malware Dridex?
El malware Dridex es un troyano bancario sofisticado diseñado para robar información financiera y facilitar actividades maliciosas. Por lo general, ataca a empresas y personas a través de campañas de phishing, lo que provoca filtraciones de datos y pérdidas financieras. Conocido por su capacidad de adaptación y sus tácticas de evasión, Dridex sigue siendo una amenaza de alta prioridad para los defensores de la ciberseguridad.
¿Cuándo se descubrió Dridex por primera vez?
Dridex surgió por primera vez en 2014, como evolución del troyano Cridex. Fue descubierto inicialmente por investigadores de seguridad que monitoreaban campañas de correo malicioso destinadas a distribuir el malware.
¿Quién creó Dridex?
Evil Corp es el grupo cibercriminal al que se atribuye su creación, y opera desde Rusia. En diciembre de 2019, la Oficina de Control de Activos Extranjeros del Tesoro de EE. UU. (OFAC, por sus siglas en inglés) sancionó a Evil Corp, a su líder Maksim Viktorovich Yakubets, y a más de una docena de miembros y facilitadores. De manera simultánea, el Departamento de Justicia de EE. UU. acusó formalmente a Yakubets y al administrador de Evil Corp, Igor Turashev, por cargos criminales relacionados con hackeo informático y esquemas de fraude bancario, con una recompensa récord de $5 millones ofrecida por información que condujera a su arresto.
Estas sanciones tienen implicaciones defensivas y de cumplimiento significativas. Las organizaciones deben tener en cuenta que los pagos de ransomware a infraestructura vinculada a Evil Corp pueden violar las sanciones de EE. UU., lo que podría exponer a las víctimas a consecuencias legales y financieras más allá del rescate en sí."
¿A qué apunta Dridex?
Dridex se centra en objetivos financieros de alto valor, incluidas empresas, procesadores de pagos y personas con acceso a fondos significativos. Su énfasis en entornos empresariales resalta su intención de generar una disrupción económica amplia.
Método de distribución de Dridex
El método principal de distribución de Dridex son los correos de phishing con archivos adjuntos o enlaces maliciosos incrustados. Estos correos suelen simular comunicaciones legítimas, engañando a las víctimas para que descarguen las cargas maliciosas. Dridex también puede propagarse a través de kits de explotación y vulnerabilidades del protocolo de escritorio remoto (RDP).
Análisis técnico del malware Dridex
Dridex inicia infecciones al descargarse desde archivos adjuntos de correos electrónicos maliciosos. Una vez ejecutado, se conecta a sus servidores de comando y control (C2) para obtener claves de cifrado e instrucciones. Su payload modular captura pulsaciones de teclado, redirige el tráfico web y extrae datos confidenciales.
Dridex se clasifica como uno de los troyanos bancarios más avanzados tecnológicamente en actividad, con el robo de credenciales bancarias como su objetivo principal. Para mantener la persistencia, Dridex modifica valores del registro y usa técnicas de inyección de procesos para ocultar su actividad. Emplea cinco técnicas de inyección de código para hacerse pasar por procesos legítimos de Windows (técnica T1036 de MITRE ATT&CK) y así evitar la detección, incluida la técnica AtomBombing, utilizada por primera vez en Dridex V4.
Si bien Dridex usa tácticas avanzadas de sigilo y evasión, se clasifica principalmente como un troyano bancario con capacidades de botnet, y no como un rootkit. Dridex se distribuye comúnmente mediante correos electrónicos que contienen documentos maliciosos de Excel, con operaciones vinculadas a otros kits de malware como Ursnif, Emotet, TrickBot, y el ransomware DoppelPaymer.
Tácticas, técnicas y procedimientos (TTPs)
Técnicas de MITRE ATT&CK : T1203 - Explotación de vulnerabilidades, T1059 - Ejecución de comandos.
Rasgos de comportamiento: Uso de código polimórfico para evasión y conexión a botnets distribuidas.
Indicadores de compromiso (IoCs)
Dominios o IPs sospechosos vinculados a servidores C2.
Hashes de documentos maliciosos usados para la distribución.
Patrones de tráfico anormales que indican un compromiso del sistema.
Cómo saber si estás infectado con Dridex
Los síntomas de una infección por Dridex incluyen un rendimiento lento del equipo, actividad no autorizada en cuentas bancarias, aparición repentina de archivos de rootkit y conexiones salientes inexplicables que se originan en endpoints o servidores.
Instrucciones para eliminar Dridex
Para eliminar Dridex manualmente, aísla de inmediato el sistema infectado para prevenir el movimiento lateral. Usa herramientas de detección y respuesta para endpoints (EDR) para ubicar y eliminar procesos maliciosos. Las herramientas del SOC de Huntress 24/7 brindan monitoreo en tiempo real y limpieza avanzada para infecciones de Dridex.
¿Dridex sigue activo?
Dridex sigue activo y es una amenaza constante. Continúan surgiendo nuevas variantes, lo que demuestra su capacidad de adaptación mediante tácticas y funciones de ingeniería social mejoradas. Las organizaciones deben mantenerse alerta ante esta amenaza persistente.
Estrategias de mitigación y prevención
Para prevenir infecciones por Dridex, implementa parches regulares para software vulnerable, aplica la autenticación multifactor (MFA), y realiza una capacitación sólida de concientización sobre phishing. El monitoreo de redes y los servicios de detección y respuesta administrada (MDR) como Huntress pueden detectar actividad sospechosa y mitigar amenazas antes de que ocurran daños significativos.
Artículos educativos y videos relacionados
Preguntas frecuentes sobre Dridex
Dridex es un troyano bancario diseñado para robar credenciales financieras y facilitar actividad maliciosa. Funciona mediante campañas de phishing y usa payloads modulares para extraer datos confidenciales de los dispositivos de las víctimas.
Dridex se distribuye principalmente a través de correos de phishing que contienen archivos adjuntos o enlaces maliciosos. Cuando los usuarios interactúan con ellos, Dridex descarga y ejecuta su payload en el dispositivo de la víctima para iniciar su operación.
Sí, Dridex sigue siendo una amenaza activa y en evolución debido a su capacidad de adaptación. Las actualizaciones regulares y las nuevas variantes aseguran su persistencia como un gran desafío para los profesionales de ciberseguridad.
Las organizaciones pueden protegerse contra Dridex implementando capacitación de concientización sobre phishing, manteniendo la seguridad de los endpoints mediante herramientas de detección como EDR, y empleando servicios de detección administrada como Huntress para el monitoreo continuo.
