Malware Maverick: Informe Accionable para Equipos SOC

Análisis del troyano Maverick

El troyano Maverick es un malware bancario sofisticado dirigido a Brasil, que utiliza ingeniería social a través de WhatsApp Web para entregar archivos ZIP maliciosos que contienen accesos directos LNK, los cuales activan cargadores ofuscados de PowerShell y .NET para una cadena de infección sin archivos. El malware verifica que el sistema de la víctima se encuentre en Brasil (mediante verificaciones de zona horaria, configuración regional y región), luego monitoriza las sesiones del navegador y apunta a una lista codificada de bancos brasileños, intercambios de criptomonedas y plataformas de pago. Las coincidencias de código vinculan a Maverick con la campaña anterior del troyano Coyote, pero su arquitectura y métodos de propagación representan una evolución. Este informe equipa a los equipos SOC con el flujo de ataque, indicadores clave de compromiso (IOC), consultas de detección, controles de mitigación y pautas de simulación necesarias para defenderse contra Maverick.

Investigación del malware Maverick

Los investigadores observaron que el vector de infección inicial de Maverick es un archivo ZIP entregado a través de WhatsApp Web, que contiene un archivo LNK malicioso. El LNK ejecuta una cadena de PowerShell que descarga un cargador inicial desde un servidor C2 (por ejemplo, sorvetenopote[.]com). El cargador decodifica y ejecuta un ensamblado .NET enteramente en memoria sin dejar archivos en el disco. Una rama de ejecución instala un módulo infectador de WhatsApp usando Selenium y WPPConnect para secuestrar sesiones de navegador y propagarse. La segunda rama carga la carga bancaria de Maverick (“Maverick.Agent”) que asegura que la víctima sea brasileña (zona horaria entre UTC−5 y UTC−2, configuración regional “pt-BR”), establece persistencia a través de un HealthApp-.bat en la carpeta de inicio, monitorea ventanas de navegador en primer plano para una lista comprimida/encriptada de URLs bancarias, y cuando se produce una coincidencia, descifra un módulo y lo ejecuta para realizar robo de credenciales, registro de teclas, captura de pantalla, phishing de superposición y comunicación C2. Numerosos patrones de reutilización de código y rutinas de encriptación AES/GZIP idénticas atan a Maverick con Coyote.

Mitigación de explotación de Maverick

Para defenderse contra Maverick, los equipos SOC deben aplicar controles estrictos y defensas en capas. Limitar o bloquear el uso de WhatsApp Web para empleados con acceso a sistemas sensibles. Implementar capacitación en concienciación sobre phishing centrándose en adjuntos ZIP y accesos directos desde plataformas de mensajería. Aplicar políticas estrictas de ejecución de PowerShell (por ejemplo, restringir scripts no firmados, registrar un uso intensivo, bloquear patrones IEX DownloadString). Monitorear la creación de archivos por lotes inusuales en carpetas de inicio (por ejemplo, «HealthApp-*.bat»). Utilizar soluciones de detección y respuesta en el endpoint (EDR) capaces de detectar carga de .NET reflejada y ejecución de shellcode Donut en memoria. Bloquear dominios maliciosos conocidos e infraestructura C2 como sorvetenopote[.]com y zapgrande[.]com a nivel de DNS/cortafuegos. Mantener firmas de antivirus/EDR y feeds de amenazas actualizados, y deshabilitar o monitorear herramientas automáticas de secuestro de sesiones de navegador.

Cómo responder al malware bancario Maverick

Cuando se detecta una posible infección de Maverick, los respondedores de incidentes deben aislar inmediatamente el host afectado y comenzar una investigación forense. Utilizar consultas de detección en su SIEM/EDR para encontrar invocaciones de PowerShell de DownloadString de dominios sospechosos, ejecución de .NET en memoria de manera reflejada y subprocesos que lanzan archivos por lotes desde carpetas de inicio. Cuarentene cualquier archivo por lotes denominado “HealthApp-.bat” y bloquee los dominios e IPs C2 asociadas. Revise perfiles de navegador en busca de herramientas de automatización no autorizadas como ChromeDriver o Selenium. Restablezca credenciales bancarias para usuarios afectados y refuerce la autenticación multifactor (MFA) en todos los accesos a servicios financieros. Asegure una limpieza exhaustiva verificando que no queden módulos residuales de Maverick. El agente permanece, y realice un barrido completo de malware en la red.

Carga útil del troyano Maverick

Instrucciones de simulación

Prerrequisito: La verificación previa de Telemetría y Línea de Base debe haber sido aprobada.

Motivo: Esta sección detalla la ejecución precisa de la técnica adversaria (TTP) diseñada para activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTP identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa de ataque y comandos:

  1. Reconocimiento inicial (omitido para la regla, innecesario).
  2. Contacto C2: El adversario lanza una línea de comando de PowerShell que resuelve zapgrande.com y realiza una solicitud HTTP GET, imitando el beacon del malware. Esto genera un evento Sysmon NetworkConnect con HostnameDestino = zapgrande.com.
  3. Recuperación de carga: Inmediatamente después del GET, el script descarga una pequeña carga ejecutable del mismo host, almacenado en %TEMP%.

  El atacante utiliza Invoke-WebRequest nativo para evitar crear un binario malicioso separado y permanecer «vivir de la tierra».

• Script de prueba de regresión:

  # -------------------------------------------------
  # Script de simulación para contacto de dominio C2 de Maverick
  # -------------------------------------------------
  $maliciousDomains = @("zapgrande.com","sorvetenopote.com")
  foreach ($domain in $maliciousDomains) {
      try {
          Write-Host "[*] Contactando al host C2: $domain"
          # Resolver DNS (crea registros de consulta DNS)