El troyano bancario Mispadu reaparece en España con una campaña que suplanta a la DGT para robar credenciales bancarias

ESET alerta de una nueva oleada de correos fraudulentos que aprovecha el aumento de los desplazamientos estivales para distribuir uno de los troyanos bancarios más activos de origen latinoamericano.

Los ciberdelincuentes vuelven a aprovechar la temporada de vacaciones para lanzar campañas de phishing dirigidas a usuarios españoles. Investigadores de ESET han detectado una nueva oleada de correos electrónicos que suplanta la identidad de la Dirección General de Tráfico (DGT) con el objetivo de distribuir Mispadu, un troyano bancario especializado en el robo de credenciales de banca online y otra información sensible.

La campaña utiliza como gancho una supuesta notificación de infracción de tráfico. En el mensaje, los atacantes informan al destinatario de que existe una multa asociada a un vehículo de su propiedad e invitan a consultar la documentación a través de varios enlaces que aparentan conducir a la web oficial de la DGT o a su aplicación móvil.

Sin embargo, todos esos enlaces redirigen a una página web fraudulenta diseñada para convencer al usuario de que descargue un supuesto documento relacionado con la infracción. El archivo no puede visualizarse desde el navegador, por lo que la víctima recibe la indicación de descargarlo en su equipo, iniciando así la cadena de infección.

Un archivo comprimido que inicia el ataque

Una vez descargado el fichero, el usuario obtiene un archivo comprimido que contiene un acceso directo con extensión LNK, una técnica habitual en campañas de malware. Al ejecutarlo, este archivo lanza comandos del sistema que establecen conexión con un servidor controlado por los atacantes para descargar las siguientes fases del malware hasta completar la instalación de Mispadu.

Los investigadores señalan que el dominio utilizado en esta campaña apenas llevaba unas semanas registrado, aunque ya había sido empleado en otras campañas maliciosas similares, lo que evidencia la rapidez con la que estas infraestructuras son reutilizadas por los grupos criminales.

Una amenaza vinculada a grupos brasileños

Mispadu forma parte de una familia de troyanos bancarios desarrollados por grupos de ciberdelincuentes brasileños, conocidos por compartir y reutilizar infraestructuras para maximizar el alcance de sus campañas. Entre las amenazas relacionadas destacan también Grandoreiro y Casbaneiro, responsables de numerosos ataques dirigidos a usuarios de España y Latinoamérica durante los últimos años.

Aunque inicialmente este tipo de malware estaba orientado exclusivamente al robo de credenciales bancarias, su evolución ha ampliado el abanico de información que busca sustraer. En la actualidad también persigue obtener credenciales de otros servicios digitales, información personal y cualquier dato que pueda ser monetizado posteriormente mediante fraude o venta en mercados clandestinos.

España continúa siendo un objetivo prioritario

La detección de esta nueva campaña confirma que España sigue siendo uno de los mercados preferentes para este tipo de organizaciones criminales, especialmente en periodos de elevada movilidad como el verano, cuando los mensajes relacionados con desplazamientos o sanciones resultan más creíbles para los usuarios.

Los expertos recuerdan que la primera señal de alarma suele encontrarse en el propio remitente del correo, que no corresponde con dominios oficiales de la Administración. También recomiendan desconfiar de enlaces incluidos en mensajes inesperados, evitar descargar archivos adjuntos de procedencia dudosa y verificar cualquier comunicación accediendo directamente a los canales oficiales de la DGT.

Contar con soluciones de seguridad actualizadas y mantener una actitud crítica frente a este tipo de comunicaciones continúa siendo una de las medidas más eficaces para evitar convertirse en víctima de campañas de ingeniería social cada vez más sofisticadas.