Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Malware IcedID
Malware IcedID
Publicado: 28/12/2025
¿Qué es el malware IcedID?
El malware IcedID es un troyano bancario diseñado para robar información confidencial, en particular credenciales financieras. Con los años, su funcionalidad se ha ampliado para incluir la implementación de ransomware y permitir el movimiento lateral dentro de las redes. Entre sus alias conocidos está BokBot. Se considera una amenaza de alta gravedad debido a sus técnicas de evasión avanzadas y su capacidad de propagarse rápidamente.
¿Cuándo se descubrió IcedID por primera vez?
IcedID se descubrió por primera vez en septiembre de 2017 por investigadores de IBM X-Force. El malware ganó atención rápidamente por sus ataques altamente dirigidos contra bancos y plataformas de pago, utilizando botnets para extender su alcance.
¿Quién creó IcedID?
Se desconocen las identidades de las personas o grupos detrás de IcedID, pero se cree que el malware es obra de organizaciones cibercriminales avanzadas debido a sus capacidades sofisticadas y su evolución continua.
¿A qué apunta IcedID?
IcedID suele apuntar a instituciones financieras, grandes corporaciones y pequeñas y medianas empresas. Se ha observado a nivel mundial, con especial prevalencia en Norteamérica y Europa, y afecta a los endpoints al recolectar credenciales o actuar como botnet para facilitar más ataques.
Método de distribución de IcedID
IcedID se propaga principalmente a través de correos de phishing que contienen archivos adjuntos o enlaces maliciosos. También se ha distribuido mediante descargas ocultas, anuncios maliciosos y kits de explotación. Una vez descargado, usa técnicas de inyección web para interceptar datos del usuario.
Análisis técnico del malware IcedID
IcedID inicia la infección ejecutando un payload malicioso que descarga componentes adicionales para mantener la persistencia. Sus tácticas incluyen inyectar código malicioso en páginas web para robar datos y usar servidores de comando y control (C2) para la comunicación. Técnicas de evasión avanzadas como la inyección de DLL y el cifrado le permiten permanecer oculto de las defensas tradicionales.
Tácticas, técnicas y procedimientos (TTPs)
IcedID emplea técnicas sofisticadas de MITRE ATT&CK en múltiples tácticas:
Acceso inicial:
- T1566.001 - Phishing: Spearphishing Attachment
- T1189 - Drive-by Compromise (sitios web legítimos clonados)
Ejecución:
- T1204.002 - User Execution: Malicious File
- T1059.005 - Command and Scripting Interpreter: Visual Basic (macros VBA ofuscadas)
- T1047 - Windows Management Instrumentation
- T1218.007 - System Binary Proxy Execution: Msiexec
- T1218.011 - System Binary Proxy Execution: Rundll32
Persistencia:
- T1547.001 - Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder
- T1053.005 - Scheduled Task/Job: Scheduled Task
Evasión de defensas:
- T1055.004 - Process Injection: Asynchronous Procedure Call
- T1055.012 - Process Injection: Process Hollowing (en msiexec.exe)
- T1027.002 - Obfuscated Files or Information: Software Packing
- T1027.003 - Obfuscated Files or Information: Esteganografía (binarios en archivos .png cifrados con RC4)
- T1027.009 - Obfuscated Files or Information: Embedded Payloads
- T1027.013 - Obfuscated Files or Information: Encrypted/Encoded File
- T1036.005 - Masquerading: Match Legitimate Resource Name or Location
- T1497 - Virtualization/Sandbox Evasion
Acceso a credenciales:
- T1185 - Secuestro de sesión del navegador (inyección web para recolectar credenciales bancarias)
- T1056 - Input Capture (capacidades de keylogging)
Descubrimiento:
- T1087.002 - Account Discovery: Domain Account (consultas LDAP)
- T1482 - Domain Trust Discovery (usando nltest)
- T1082 - System Information Discovery
- T1614.001 - System Location Discovery: System Language Discovery
- T1016 - System Network Configuration Discovery (ipconfig /all)
- T1135 - Network Share Discovery (net view /all)
- T1069 - Permission Groups Discovery (pertenencia a grupo de trabajo)
- T1518.001 - Software Discovery: Security Software Discovery (enumeración de antivirus con WMIC)
Comando y control:
- T1071.001 - Application Layer Protocol: Web Protocols (HTTPS)
- T1573.002 - Encrypted Channel: Asymmetric Cryptography (SSL/TLS)
- T1106 - Native API (ZwWriteVirtualMemory, ZwProtectVirtualMemory, ZwQueueApcThread, NtResumeThread)
Recolección y exfiltración:
- T1105 - Ingress Tool Transfer (descarga módulos y configuración desde C2)
- T1048.002 - Exfiltration Over Alternative Protocol: Exfiltration Over Asymmetric Encrypted Non-C2 Protocol (exfiltración por HTTPS)
Indicadores de compromiso (IoCs)
Los defensores deben monitorear estos indicadores específicos y reales de IcedID:
Hashes de archivos (SHA256):
c9c4ed0902df031f72f3ae176895a2b43dc2737f7ce5ab5017134aec0c21dfad— paquete MSI malicioso (build-123.msi)2ed82c45ca01afb84db23d41f50eecc726a804f4f8b2f5e9c6a561003643194d— instalador DLL de 64 bitse562eafa553e130de12386f8b099d77fc2bdeeebdc5aa3573268bbc73a259c64— binario gzip falso332afc80371187881ef9a6f80e5c244b44af746b20342b8722f7b56b61604953— binario de datos (license.dat)5d58a00e92dcbc86c8d6825f1971e589b17029611f1e3206ac9a6604923e3d90— DLL persistente de IcedID
Dominios de comando y control:
- grafielucho[.]com
- manjuskploman[.]com
- qousahaff[.]com
- brojizuza[.]com
- asleytomafa[.]com
Direcciones IP de comando y control:
- 104.21.32[.]6
- 45.61.137[.]225
- 45.61.139[.]232
- 45.61.136[.]22
- 162.33.179[.]136
- 159.89.124[.]188
Artefactos del sistema de archivos:
C:\ProgramData\[random_string]\0loader_p1_dll_64_n1_x64_inf.dllC:\Users\[username]\AppData\Roaming\ChronicExample\license.datC:\Users\[username]\AppData\Roaming\[username]\[random]64.dll
Métodos de ejecución:
rundll32.exe [filename] scab /k roluxe752rundll32.exe [filename],init --itpela="[path to license.dat]"- Process hollowing en msiexec.exe
Indicadores de red:
- Conexiones HTTPS en el puerto 443 a dominios C2
- Patrones de tráfico BackConnect (canal C2 secundario)
- Certificados TLS autofirmados usados para ataques man-in-the-browser
Indicadores de comportamiento:
- Tareas programadas creadas en directorios %AppData%\Roaming con nombres de carpeta aleatorios
- Process hollowing de msiexec.exe con archivos .msi de nombre aleatorio
- Consultas WMIC para enumeración de software de seguridad
- Comandos
net view /allpara descubrimiento de recursos compartidos de red - Enumeración de confianza de dominio con
nltest
Nota: los IoCs de IcedID cambian con frecuencia. Para inteligencia de amenazas actualizada, consulta repositorios como ThreatFox (abuse.ch), Unit42 Timely Threat Intel y tus fuentes de inteligencia de amenazas.
URLs de origen:
- Palo Alto Networks Unit42 IcedID IoCs (octubre de 2023): https://github.com/PaloAltoNetworks/Unit42-timely-threat-intel/blob/main/2023-10-31-IOCs-for-IcedID-infection.txt
- Base de datos ThreatFox de IcedID: https://threatfox.abuse.ch/browse/malware/win.icedid/
- Informe de detección de amenazas de Red Canary - IcedID: https://redcanary.com/threat-detection-report/threats/icedid/
Cómo saber si estás infectado con IcedID
Los sistemas infectados con IcedID suelen mostrar señales como rendimiento más lento, mayor tráfico de red y conexiones salientes anormales. Además, las credenciales comprometidas o el acceso no autorizado a cuentas pueden indicar su presencia.
Instrucciones para eliminar IcedID
Para eliminar IcedID, desconecta de inmediato el sistema infectado de la red para limitar el movimiento lateral. Usa Detección y respuesta para endpoints (EDR) herramientas como las soluciones de Huntress para realizar análisis profundos y poner en cuarentena los archivos maliciosos. También se recomienda actualizar las bases de datos del antivirus y restaurar los datos desde copias de seguridad.
¿Sigue activo IcedID?
La actividad de IcedID ha disminuido significativamente desde finales de 2023, y sus operadores parecen estar haciendo la transición a Latrodectus, un probable sucesor desarrollado por los mismos actores de amenazas. Aunque aún pueden encontrarse infecciones heredadas de IcedID, el uso de Latrodectus aumentó en campañas durante febrero y marzo de 2024, lo que sugiere que se está convirtiendo en el cargador principal de estos operadores. Las organizaciones deben monitorear los indicadores tanto de IcedID como de Latrodectus, ya que la infraestructura y las tácticas del actor de amenazas subyacente se mantienen consistentes.
Estrategias de mitigación y prevención
Las organizaciones deben implementar prácticas sólidas de ciberseguridad para mitigar el riesgo de IcedID, incluyendo mantener el software actualizado, usar autenticación multifactor (MFA), capacitar a los usuarios sobre phishing y monitorear las redes en busca de actividad inusual. Los servicios de detección y respuesta administrada (MDR) de Huntress, disponibles las 24 horas los 7 días de la semana, pueden ayudar a detectar y neutralizar amenazas como IcedID antes de que escalen.
Artículos educativos y videos relacionados
Preguntas frecuentes sobre el malware IcedID
IcedID es un troyano bancario diseñado para robar credenciales e información financiera. Utiliza tácticas como inyección web, botnets y servidores C2 para infectar sistemas y facilitar ataques posteriores.
IcedID suele infectar sistemas a través de correos de phishing que contienen archivos adjuntos o enlaces maliciosos, así como mediante descargas automáticas y kits de explotación.
Sí, IcedID sigue siendo una amenaza activa y en evolución, y los cibercriminales continúan actualizándolo con nuevas funcionalidades. Todavía se usa en ataques de alto perfil en todo el mundo.
Las organizaciones pueden protegerse contra IcedID implementando filtros de correo sólidos, usando herramientas de detección y respuesta administrada (MDR), habilitando MFA y realizando capacitaciones regulares en ciberseguridad para los empleados.
