Malware Coyote en Banca: Informe de Amenazas para el SOC

Los investigadores de seguridad identificaron que las infecciones de Coyote se originan a partir de archivos ZIP maliciosos descargados a través de web.whatsapp.com. Dentro de estos archivos, los archivos de acceso directo (LNK) lanzan comandos de PowerShell anidados codificados con Base64 y UTF-16LE, que recuperan scripts de zapgrande[.]com. El cargador inicial desactiva Microsoft Defender y UAC antes de desplegar un cargador reflectivo .NET que ejecuta cargas útiles directamente en la memoria. La persistencia se mantiene mediante un archivo batch (“HealthApp-<GUID>.bat”) colocado en la carpeta de inicio. El malware valida la configuración local brasileña de la víctima, enumera los navegadores y coincide con URL bancarias cifradas a través de rutinas AES-CBC-GZIP. La superposición de código y la lógica de cifrado vinculan a Coyote con la familia de troyanos Maverick.

Mitigación del Troyano Coyote

Los equipos SOC deben priorizar una estrategia de defensa en capas contra la cadena de infección de Coyote. Las organizaciones deben restringir el acceso de los empleados a WhatsApp Web y servicios de mensajería similares, al tiempo que implementan capacitación sobre concienciación resistente al phishing. Despliegue herramientas avanzadas de detección y respuesta en puntos finales (EDR) capaces de identificar actividad de PowerShell codificada, carga .NET reflectiva y creación no autorizada de archivos batch. Bloquee dominios C2 conocidos como zapgrande[.]com and sorvetenopote[.]com, aplique políticas estrictas de ejecución de PowerShell y asegúrese de que las firmas de antivirus y las reglas de comportamiento se actualicen continuamente para identificar variantes emergentes.

Respuesta al Malware Bancario Coyote

Una vez detectado, los respondedores de incidentes deben aislar inmediatamente los puntos finales afectados e iniciar consultas de caza de amenazas en Microsoft Defender para Endpoint o plataformas SIEM similares para localizar ejecuciones de PowerShell derivadas de descargas de WhatsApp. Cuaretenar o eliminar archivos LNK, ZIP, y batch que coincidan con IOCs conocidos y bloquear la infraestructura C2 asociada en las capas de firewall y DNS. Los analistas deben eliminar cualquier HealthApp-*.bat , restablecer credenciales bancarias comprometidas y aplicar autenticación multifactor en todas las plataformas financieras. Se requiere una revisión forense exhaustiva para confirmar la eliminación de cargadores en memoria y cargas útiles secundarias.