Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Malware Gozi
Malware Gozi
Publicado: 12/12/2025
¿Qué es el malware Gozi?
El malware Gozi es un troyano bancario ampliamente conocido, descubierto por primera vez en 2007, que ataca a instituciones financieras mediante el robo de datos sensibles como credenciales de inicio de sesión e información bancaria personal. Sus funciones clave incluyen el registro de pulsaciones de teclado, la captura de formularios y la inyección de código malicioso en sesiones web. Gozi se considera una amenaza de alto riesgo debido a su capacidad de adaptarse y evadir la detección.
¿Cuándo se descubrió Gozi por primera vez?
Gozi fue descubierto inicialmente a principios de 2007 por investigadores de seguridad que analizaban una muestra filtrada. Ganó notoriedad por su eficacia y desde entonces ha evolucionado hacia varias versiones sofisticadas.
¿Quién creó Gozi?
Los desarrolladores originales de Gozi son de conocimiento público tras los procesamientos del Departamento de Justicia de EE. UU.:
- Nikita Kuzmin (desarrollador principal): Fue arrestado en 2010, se declaró culpable en 2011 de conspiración para la intrusión informática, y en 2016 fue sentenciado a 37 meses de prisión. Kuzmin desarrolló el núcleo del troyano Gozi y lo operó como crimeware-as-a-service.
- Deniss Calovskis (autor de las inyecciones web): Fue extraditado desde Letonia y se declaró culpable en 2014 de conspiración para cometer intrusión informática. Desarrolló el sistema dinámico de inyección web que hizo a Gozi particularmente eficaz para robar credenciales bancarias.
- Mihai Ionut Paunescu (proveedor de infraestructura): Fue extraditado desde Rumania y condenado por brindar servicios de alojamiento resistente a la interrupción que mantuvieron en línea la infraestructura de comando y control de Gozi pese a los intentos de desmantelamiento.
Estos procesamientos se enfocaron en el Gozi original (circa 2007-2010). Sin embargo, tras el arresto de Kuzmin, el código fuente se filtró y se vendió a varios grupos cibercriminales, lo que dio lugar a numerosas variantes que siguen activas hoy en día bajo diferentes operadores cuyas identidades son en gran parte desconocidas.
¿Qué ataca Gozi?
Gozi ataca principalmente sistemas basados en Windows y se enfoca en instituciones financieras y plataformas de banca en línea. Su impacto geográfico ha sido generalizado, con campañas identificadas en Norteamérica, Europa y otras regiones.
Método de distribución de Gozi
El malware Gozi suele propagarse a través de correos electrónicos de phishing con archivos adjuntos maliciosos, descargas automáticas (drive-by downloads) en sitios web comprometidos, y kits de explotación que aprovechan vulnerabilidades de software sin parchar.
Análisis técnico del malware Gozi
Tácticas, técnicas y procedimientos (TTPs)
Gozi usa mecanismos de persistencia sigilosos y tácticas de evasión avanzadas mapeadas al marco MITRE ATT&CK. Entender estas técnicas es esencial para una detección y defensa eficaces.
Persistencia:
- T1547.001 - Ejecución de arranque o inicio de sesión automático: claves de registro Run / carpeta de inicio
- T1543.003 - Crear o modificar proceso del sistema: servicio de Windows
Evasión de defensas:
- T1055.005 - Inyección de procesos: almacenamiento local de subprocesos
- T1055.012 - Inyección de procesos: vaciado de procesos
- T1027.010 - Archivos u información ofuscados: ofuscación de comandos
- T1027.013 - Archivos u información ofuscados: archivo cifrado/codificado
- T1036.005 - Enmascaramiento: coincidencia con nombre o ubicación de recurso legítimo
- T1070.004 - Eliminación de indicadores: eliminación de archivos
- T1112 - Modificar el registro
- T1564.003 - Ocultar artefactos: ventana oculta
- T1497.003 - Evasión de virtualización/sandbox: verificaciones basadas en tiempo
Acceso a credenciales:
- T1056.004 - Captura de entrada: hooking de API de credenciales
- T1185 - Secuestro de sesión del navegador
Descubrimiento:
- T1057 - Descubrimiento de procesos
- T1012 - Consulta del registro
- T1082 - Descubrimiento de información del sistema
- T1007 - Descubrimiento de servicios del sistema
Recolección:
- T1005 - Datos del sistema local
- T1113 - Captura de pantalla
- T1074.001 - Datos preparados: preparación local de datos
Comando y control:
- T1071.001 - Protocolo de capa de aplicación: protocolos web
- T1090 - Proxy
- T1090.003 - Proxy multisalto (Tor)
- T1132 - Codificación de datos
- T1568.002 - Resolución dinámica: algoritmos de generación de dominios
Ejecución:
- T1059.001 - Intérprete de comandos y scripts: PowerShell
- T1059.005 - Intérprete de comandos y scripts: Visual Basic
- T1047 - Windows Management Instrumentation
- T1106 - API nativa
Movimiento lateral:
- T1080 - Contaminar contenido compartido
- T1091 - Replicación a través de medios extraíbles
Exfiltración:
- T1041 - Exfiltración a través del canal C2
Gozi aprovecha la inyección web dinámica (T1185) para robar credenciales sin que la víctima lo note, inyecta cargas maliciosas en procesos confiables (T1055.005, T1055.012) y transfiere datos a servidores de comando y control mediante HTTPS (T1071.001) o Tor (T1090.003).
Indicadores de compromiso (IoCs)
- Conexiones sospechosas a dominios e IPs
- Hashes de archivos vinculados a muestras de Gozi/ISFB/Dreambot/GozNym
- Procesos desconocidos en el administrador de tareas o archivos del sistema alterados
- Modificaciones del registro en ubicaciones de inicio automático
- Apariciones inesperadas de clientes TOR o ventanas ocultas
URLs de origen:
- MITRE ATT&CK Ursnif (S0386): https://attack.mitre.org/software/S0386/
- Trend Micro - URSNIF: The Multifaceted Malware: https://www.trendmicro.com/en_us/research/15/c/ursnif-the-multifaceted-malware.html
Cómo saber si estás infectado con Gozi
Entre las señales de infección están ralentizaciones inexplicables del sistema, actividad de red inusual, fondos faltantes en cuentas financieras o alertas de las herramientas de protección de endpoints.
Instrucciones para eliminar Gozi
Eliminar Gozi requiere una acción integral. Comienza por desconectar el equipo infectado de la red para evitar más daños. Usa soluciones EDR confiables o herramientas de remediación para identificar y eliminar los archivos maliciosos. Si la infección es grave, podría ser necesaria una reinstalación completa del sistema.
¿Sigue activo Gozi?
Sí, Gozi sigue activo, y los grupos de cibercriminales lanzan variantes actualizadas para evadir las defensas de seguridad modernas. Se requiere vigilancia constante para protegerse de esta amenaza persistente.
Estrategias de mitigación y prevención
Prevenir infecciones de Gozi implica implementar prácticas sólidas de ciberseguridad, como aplicar parches de software con regularidad, habilitar la autenticación multifactor y realizar capacitaciones periódicas de concientización sobre phishing. El monitoreo continuo mediante servicios de detección y respuesta administrados, como la Huntress Managed Cybersecurity Platform puede ayudar a mitigar los ataques de Gozi de forma proactiva.
Artículos educativos y videos relacionados
Preguntas frecuentes sobre Gozi
Gozi es un troyano bancario diseñado para robar información financiera confidencial mediante métodos como el registro de pulsaciones de teclas y la inyección de sesiones web. Funciona infiltrándose en los sistemas a través de phishing o kits de explotación, y transmite los datos robados a servidores controlados por cibercriminales.
Gozi se propaga a través de archivos adjuntos maliciosos en correos electrónicos, enlaces fraudulentos y descargas automáticas en sitios web comprometidos. Una vez ejecutado, persiste incrustándose en procesos legítimos y evade las herramientas de detección mediante técnicas como la inyección de procesos y modificaciones del registro.
Las organizaciones pueden protegerse de Gozi aplicando parches de software con regularidad, habilitando la autenticación multifactor, realizando capacitaciones de concientización sobre phishing e implementando servicios de detección y respuesta administrados. El monitoreo continuo mediante soluciones EDR y el análisis del tráfico de red pueden detectar los patrones distintivos de comando y control de Gozi.
Sí, Gozi sigue siendo una amenaza relevante, ya que continúan apareciendo variantes actualizadas. Los cibercriminales perfeccionan sus capacidades para evadir las defensas en evolución, por lo que es necesaria una vigilancia constante. Su arquitectura modular y la filtración de su código fuente permiten que varios actores de amenazas operen campañas independientes con malware basado en Gozi.
