NOMBRE
dridex — Troyano bancario de 2014 de Evil Corp, uno de los más prolíficos. Se distribuía por correo con macros y evolucionó hacia el despliegue de ransomware (BitPaymer, WastedLocker).
alias: Bugat, Cridex, Feodo
SINOPSIS
dridex --tipo troyano --año 2014 --severidad crítica --plataforma "Windows" --autor "INDRIK SPIDER (Evil Corp)"
DESCRIPCIÓN
Dridex, operado por INDRIK SPIDER (Evil Corp), robaba credenciales bancarias y se propagaba con campañas masivas de correo con documentos de Office y macros. Con el tiempo, la banda lo usó como puerta de entrada para desplegar ransomware dirigido, marcando su salto al «big game hunting».
PROPAGACIÓN
Malspam con documentos Office y macros; a menudo previo al despliegue de ransomware.
CARGA ÚTIL
Robo de credenciales bancarias y descarga de cargas de segunda fase (ransomware).
PREVENCIÓN
Bloquear macros; filtrado de correo; doble factor; copias offline.
MITIGACIÓN
Aislar, erradicar y rotar credenciales; reconstruir si hubo ransomware.
INDICADORES
- autor / origen
- INDRIK SPIDER (Evil Corp)
- país
- Rusia
- etiquetas
- Evil Corpbotnetmacrostroyano bancario
Documentos con macro; tráfico a C2; persistencia por tarea/servicio.
DETONACIÓN
Todavía no se expone ningún informe de detonación de esta pieza. Su política de seguridad (No detonar (solo material pregrabado)) no permite ejecutarla, así que se documenta solo con material pregrabado.
FUENTES
- Análisis técnico en MITRE ATT&CK · MITRE ATT&CK