El troyano bancario Coyote evoluciona: ahora ataca WhatsApp Web y exchanges de cripto mediante automatización de UI

El panorama de ciberseguridad enfrenta una nueva amenaza con el descubrimiento de una versión evolucionada del troyano bancario Coyote, que demuestra capacidades sin precedentes en la automatización de fraudes financieros. Esta última iteración marca un desarrollo preocupante en la sofisticación del malware bancario al utilizar el framework UI Automation de Microsoft - diseñado para asistir a usuarios con discapacidades - contra plataformas financieras.

Análisis Técnico:
El malware emplea una cadena de infección multi-etapa que comienza con campañas de phishing que distribuyen archivos JavaScript maliciosos (.js). Una vez ejecutado, establece persistencia y descarga cargas útiles adicionales que incluyen el módulo de abuso de UI Automation. A diferencia de los troyanos bancarios tradicionales que usan ataques de overlay, la nueva variante de Coyote utiliza las APIs de UI Automation para:

1) Interactuar programáticamente con interfaces de aplicaciones bancarias
2) Extraer datos sensibles mediante técnicas de screen scraping
3) Automatizar transacciones fraudulentas imitando patrones de comportamiento humano

WhatsApp Web ha emergido como vector de ataque principal, donde el troyano secuestra sesiones activas para evadir mecanismos de autenticación en dos pasos (2FA). El malware monitorea actividad del navegador e inyecta JavaScript malicioso al detectar visitas a portales bancarios o exchanges de criptomonedas.

Impacto en Plataformas Cripto:
El troyano muestra funcionalidad específica contra exchanges de criptomonedas, con capacidades para:

• Modificar detalles de transacciones durante el proceso de confirmación
• Alterar direcciones de wallet destino en transferencias
• Evadir algunas implementaciones de sistemas de verificación de transacciones

Recomendaciones Defensivas:
Los equipos de seguridad deben priorizar:
1) Listas blancas de aplicaciones para prevenir ejecución no autorizada
2) Monitoreo de tráfico de red para conexiones a servidores C2 conocidos
3) Educación de usuarios en reconocer intentos de phishing sofisticados
4) Implementación de sandboxing de aplicaciones donde sea posible

El uso de frameworks de accesibilidad legítimos con fines maliciosos presenta desafíos particulares de detección, requiriendo análisis de comportamiento en lugar de enfoques basados en firmas. Las empresas del sector financiero deberían considerar monitoreo reforzado de patrones de uso de las APIs de UI Automation.