Check Point Research (CPR), la división de Inteligencia de amenazas de Check Point® Software Technologies Ltd. un proveedor especializado en ciberseguridad a nivel mundial, alertó a los navegantes de internet después de que la Guardia Civil española detuviese a 16 sospechosos acusados de blanqueo de capitales. Pero la preocupación sería por la reaparición de un troyano bancario utilizado para este tipos de delitos.
Con el nombre de Mekotio, este malware se dirige principalmente a víctimas de España y América Latina con nuevas capacidades y técnicas de evasión. En las últimas semanas, se detectaron y bloquearon más de 100 ciberataques dirigidos a países latinoamericanos que aprovechan una forma evolucionada del troyano bancario.
Mekotio, procedente de ciberdelincuentes de Brasil, volvió a aparecer recientemente con un nuevo flujo de infección. La nueva campaña comenzó justo después de que la Guardia Civil española anunciara la detención de 16 personas implicadas en la distribución de Mekotio en julio de 2021.
Aparentemente, la banda detrás del malware fue capaz de reducir la brecha rápidamente y cambiar de táctica para evitar la detección.
Se cree que la cepa de malware es obra de grupos de ciberdelincuentes que se encargan de alquilar el acceso a sus herramientas a otras bandas responsables de distribuir el troyano y blanquear fondos.
Desarrollado para atacar equipos Windows, Mekotio es conocido por utilizar correos electrónicos falsos que imitan a empresas legítimas. Una vez infectada la víctima, el troyano bancario permanece oculto, esperando a que los usuarios se conecten a las cuentas bancarias electrónicas, recogiendo silenciosamente sus credenciales.
:quality(70)/https://assets.iproup.com/assets/jpg/2021/11/23611.jpg?7.1.1)
Mekotio es conocido por utilizar correos electrónicos falsos que imitan a empresas legítimas
Desde Check Point Research opinaron que los principales grupos de ciberdelincuentes operan desde Brasil y vienen colaborando con las bandas españolas para distribuir malware. La detención frenó la actividad de las bandas españolas, pero no la de los grupos de ciberdelincuentes centrales
Las recientes observaciones de Check Point Research revelaron que estos ciberdelincuentes siguen activos, distribuyendo una nueva versión de este troyano. España, Brasil, Chile, México y Perú fueron históricamente los objetivos de Mekotio, incluyendo los recientes ciberdelincuentes captados por los investigadores.
Cómo funciona el troyano Mekotio
La infección comienza y se distribuye con un correo electrónico de phishing, que contiene un enlace a un archivo zip o un archivo comprimido como adjunto. El mensaje atrae a la víctima para que descargue y extraiga este contenido.
Los e-mails captados por los investigadores reclaman a la víctima objetivo un "recibo fiscal digital pendiente de presentación". Cuando las víctimas hacen clic en el enlace, se descarga un archivo fraudulento desde un sitio web malicioso.
El nuevo vector de infección de Mekotio contiene estos elementos inéditos:
- Un archivo batch más sigiloso con al menos dos capas de ofuscación
- Un nuevo script PowerShell sin archivos que se ejecuta directamente en la memoria
- Uso de Themida v3 para empaquetar la carga útil DLL final
En los últimos 3 meses, se vio una evolución de los ataques que emplean nuevas y sencillas técnicas de ofuscación, con la ayuda de un cifrado de sustitución, para ocultar el primer módulo del ataque. Esta sencilla técnica de ocultación que permite que no sea detectado por la mayoría de los softwares de protección.
:quality(70)/https://assets.iproup.com/assets/jpg/2021/09/22553.jpg?7.1.1)
El modus operandi de Mekotio es a través del phishing, que contiene un enlace a un archivo zip o un archivo comprimido como adjunto
Nuevas habilidades de camuflaje y técnicas de evasión
Una de las características clave de Mekotio es su diseño modular, que da a los ciberdelincuentes la posibilidad de cambiar sólo una pequeña parte del conjunto para evitar su detección. Además, Mekotio utiliza un antiguo método llamado "cifrado de sustitución" para ocultar el contenido de los archivos y el primer módulo de ataque.
Esta sencilla técnica de evita ser detectado por la mayoría de los productos antivirus. Además, estos ciberdelincuentes utilizan una nueva versión de una herramienta comercial llamada "Themida", que incorpora a la descarga útil un sofisticado sistema de cifrado, antidepuración y antimonitorización.
:quality(70)/https://assets.iproup.com/assets/jpg/2021/11/23612.jpg?7.1.1)
Ejemplo del correo que distribuye el grupo de ciberdelincuentes que opera bajo el alias de Mekotio
"Aunque la Guardia Civil española anunció la detención de 16 personas implicadas en la distribución de Mekotio en julio de 2021, parece que la banda detrás del malware sigue activa. Tenemos claro que han desarrollado y distribuido una nueva versión que tiene capacidades de ocultación y técnicas de evasión mucho más eficaces.
Existe un peligro muy real de que robe nombres de usuario y contraseñas, con el fin de entrar en las instituciones financieras. De ahí que las detenciones hayan frenado la actividad de las bandas españolas, pero no la de los principales grupos de ciberdelincuentes que están detrás.
Sabemos algunas cosas sobre los ciberdelincuentes que están detrás de Mekotio, que operan desde Brasil y colaboran con bandas europeas para distribuir el malware:
- Les gusta utilizar una infraestructura de entrega en varias etapas para evitar la detección
- Utilizan principalmente correos electrónicos de phishing como primer vector de infección
- Usan entornos de nube de Microsoft y Amazon para alojar los archivos maliciosos
Instamos a los usuarios de las regiones objetivo conocidas de Mekotio a que utilicen la autenticación de dos factores siempre que esté disponible y a que tengan cuidado con los dominios parecidos, los errores ortográficos en los emails o las páginas web y los remitentes de correo electrónico desconocidos", alertó Eusebio Nieva, director técnico de Check Point Software para España y Portugal.
Cómo mantenerse protegido
- Tener cuidado con los dominios parecidos, con los errores ortográficos en los correos electrónicos o en las páginas web y con los remitentes de e-mails desconocidos
- Es preciso ser precavido con los archivos recibidos por correo electrónico de personas extrañas, sobre todo si solicitan una acción determinada que no se suele realizar
- Asegurarse de que los pedidos se realizan a una fuente auténtica. Una forma de hacerlo es no hacer clic en los enlaces promocionales de los mensajes y, en su lugar, buscar en Google la tienda deseada y hacer clic en el enlace de la página de resultados
- Hay que tener cuidado con las ofertas "especiales" que no parecen ser oportunidades de compra fiables o de confianza
- Garantizar que no se reutilizan las contraseñas entre diferentes aplicaciones y cuentas
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2018/12/1600_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/png/2024/05/38597_landscape.png)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2024/01/37487_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2025/06/43186_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2021/02/16081_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2023/02/33472_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2025/04/42631_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpeg/2021/02/16049_landscape.jpeg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2022/09/30517_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2025/05/42962_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2020/08/11501_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2022/01/24998_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2024/09/40051_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2025/02/41916_landscape.jpg)
:quality(85):max_bytes(102400)/https://assets.iproup.com/assets/jpg/2025/01/41589_landscape.jpg)