Casbaneiro: dos campañas y un C2 activo
Unit 42 documentó una operación con remoto abusado, side-loading Delphi y extensión Chromium, y otra campaña regional con señuelos bancarios.
Unit 42 reconstruyó dos líneas de actividad vinculadas a Casbaneiro, también rastreado como Metamorfo y Ponteiro. En una de ellas, la familia bancaria fue distribuida junto con una extensión maliciosa para Chromium cuya infraestructura seguía activa al cierre del análisis. En la otra, la intrusión comenzó con phishing, derivó en la instalación de un cliente legítimo de acceso remoto desde un tenant de prueba abusado y terminó con la ejecución de PowerShell en el equipo comprometido. Desde allí, los operadores descargaron por separado un archivo de la extensión, una utilidad firmada y una DLL maliciosa, abriendo dos rutas de ejecución en paralelo.
La carga Delphi abusó del side-loading de DLL mediante VmLauncher.exe, un binario firmado de Caphyon Advanced Installer, para cargar zlibai.dll. Esa DLL imitaba a zlib, exportaba funciones señuelo, parcheaba el punto de entrada del proceso anfitrión y entregaba un manejador que ocultaba la ventana, verificaba conectividad y descifraba comandos con una rutina XOR apoyada en una tabla de 150 bytes. En paralelo, la extensión Chromium se cargó fuera de Chrome Web Store con chrome.exe --load-extension=C:\chrome, pidió permisos amplios y estableció un canal WebSocket para capturas de pantalla, robo de cookies, listado de pestañas, captura de formularios y superposiciones HTML controladas por el operador.
La infraestructura estuvo segmentada entre la plataforma de extensiones, el panel y el payload Delphi, alojada en proveedores distintos. Unit 42 reportó como centro de control visible 216.203.21[.]119 para el WebSocket y el panel, y 190.2.184[.]201 para el C2 Delphi en los puertos 8082 y 8398. También publicó dominios de configuración y descarga, hashes de muestras y artefactos de host, incluidos extensiones locales, ZIP de distribución y claves de registro asociadas. La lista de objetivos observados en el panel incluye cerca de 65 portales bancarios portugueses y brasileños, 11 exchanges de criptomonedas y proveedores de webmail, pero eso describe alcance técnico observado, no víctimas confirmadas.
En paralelo, coberturas secundarias atribuyen a una campaña de agosto un componente regional más amplio, con señuelos personalizados de facturas, intimaciones o supuestos procedimientos judiciales. Esa línea también habría recolectado contactos de Outlook y datos de remitente y destinatario antes de activar la comunicación asociada a sitios bancarios. Sin embargo, la relación operativa entre esa campaña regional y la actividad posterior descrita por Unit 42 no está confirmada en las fuentes consultadas, por lo que deben tratarse como investigaciones separadas.
Resumen ejecutivo
Unit 42 documentó dos líneas de actividad separadas asociadas a Casbaneiro, también rastreado como Metamorfo y Ponteiro. Una de ellas combinó acceso remoto legítimo abusado, un payload Delphi entregado por side-loading de DLL y una extensión Chromium maliciosa con WebSocket persistente. La otra, cubierta por fuentes secundarias, describe una campaña regional de agosto con señuelos de facturas, intimaciones y recopilación previa de datos de Outlook antes de activar la lógica bancaria.
En la línea analizada por Unit 42, el acceso inicial comenzó con phishing. La víctima terminó instalando un cliente legítimo de acceso remoto obtenido desde un tenant de prueba abusado, instalado como servicio de Windows. Desde esa sesión, los operadores ejecutaron PowerShell y descargaron, por un lado, un archivo comprimido con una extensión Chromium desempaquetada y, por el otro, un binario firmado junto con una DLL maliciosa. Esa secuencia permitió desplegar dos componentes en paralelo y mantenerlos activos al momento del análisis.
La parte Delphi abusó de VmLauncher.exe, un componente firmado de Caphyon Advanced Installer, para cargar zlibai.dll. La DLL imitó la biblioteca de compresión zlib, exportó funciones señuelo, parcheó el punto de entrada del proceso anfitrión y desvió la ejecución hacia su manejador. Ese manejador ocultó la ventana del proceso, verificó conectividad y descifró comandos con una rutina XOR apoyada en una tabla de claves de 150 bytes. El informe también registró C2 Delphi en 190.2.184[.]201, en los puertos 8082 y 8398.
La extensión Chromium usó Manifest V3, se cargó localmente con chrome.exe --load-extension=C:\chrome y no pasó por Chrome Web Store. Solicitó permisos para storage, tabs, webNavigation, scripting, activeTab y cookies. Al iniciarse consultó un archivo de texto plano en un dominio del operador para obtener el endpoint WebSocket, generó identificadores de 10 caracteres en mayúsculas y mantuvo la sesión con pings periódicos. Desde allí recibió comandos para capturar pantalla, recuperar cookies, listar pestañas e inyectar o retirar HTML, mientras sus scripts de contenido capturaban campos de formularios y contraseñas en todas las páginas.
Unit 42 también describió paneles “Painel Gangster” sobre Node.js Express detrás de nginx, con rutas API para gestionar clientes, overlays, capturas, cookies y silenciamiento de notificaciones por mensajería. El panel mostraba una lista técnica de aproximadamente 65 portales bancarios portugueses y brasileños, 11 exchanges de criptomonedas y proveedores de webmail, incluidos dominios typosquatted. Eso no equivale a víctimas verificadas, pero sí ayuda a medir la selección operativa del actor. La infraestructura de la plataforma de extensiones y la del payload Delphi estuvo separada y alojada en proveedores distintos, una segmentación que sugiere diseño deliberado.
La segunda línea, documentada por coberturas secundarias, agrega una dimensión regional. Allí se mencionan señuelos personalizados, geofencing y, en la descripción de una campaña de agosto, recolección de contactos y datos de Outlook, transmisión sin cifrar y creación de un archivo .Outlook como marca de finalización. No obstante, la relación operativa entre esa campaña y la intrusión posterior observada por Unit 42 no quedó confirmada en la fuente principal, por lo que deben analizarse como investigaciones distintas.
Contexto y antecedentes
Casbaneiro aparece en el material como una familia bancaria con varios alias y una evolución que mezcla carga clásica en Windows con abuso de navegador. Unit 42 lo rastrea como Casbaneiro, Metamorfo y Ponteiro. En su informe de octubre de 2026, la firma describe una intrusión donde la cadena de ejecución no dependió de un solo canal, sino de dos componentes coordinados, un loader Delphi y una extensión Chromium, ambos con infraestructura activa durante el análisis.
El contexto operativo importa porque el actor separó funciones. La entrega, el panel y el C2 no residieron en el mismo sitio ni en el mismo tipo de servicio. Unit 42 observó infraestructura distinta para la plataforma de extensiones y para el payload Delphi, alojada en proveedores diferentes. Esa separación funcional reduce la visibilidad por corridas monolíticas de infraestructura y complica la atribución puramente basada en hosting o dominios.
La familia ya había sido vista en coberturas secundarias de agosto de 2026 con una campaña regional de distribución. Esas notas hablan de geofencing, de señuelos que aparentaban facturas, intimaciones o procedimientos judiciales, y de una etapa previa a la comunicación con sitios bancarios donde el malware recolectaba contactos de Outlook y datos de remitente y destinatario. También reportan una marca de finalización en forma de archivo .Outlook dentro de %APPDATA%. Esos elementos encajan con una lógica de despliegue orientada a preparar terreno antes de las interacciones bancarias.
La fuente principal de Unit 42, sin embargo, no vincula de manera operativa esa campaña regional con la actividad posterior que analizó. Sí deja claro que la lista de objetivos del panel, compuesta por portales bancarios portugueses y brasileños, exchanges de criptomonedas y webmail, es un alcance técnico observado y no un conteo de víctimas. También aclara que la intrusión no confirma por sí sola afectación en países concretos de la región, ni por ejemplo en México o Brasil, más allá de los objetivos seleccionados por el panel.
En el plano de ingeniería, el uso de una utilidad firmada para cargar una DLL maliciosa y el uso de una extensión fuera de la Chrome Web Store muestran una apuesta por mezclar piezas legítimas con artefactos maliciosos. La primera vía sirve para disfrazar la carga en Windows. La segunda, para lograr persistencia e interacción de alto nivel sobre el navegador, con captura de sesiones, cookies y formularios. Esa combinación explica por qué el actor operó con infraestructura dividida y con telemetría centralizada en paneles web.
Tabla de hechos clave
| Fecha | Hecho | Fuente | Confianza |
|---|---|---|---|
| 2025-09 | El nombre “Painel Gangster” ya figuraba en un archivo de datos de panel enviado a un repositorio público de malware y luego fue confirmado en hosts activos. | Unit 42 | confirmed |
| 2026-08 | Coberturas secundarias describieron una campaña regional con señuelos de facturas, intimaciones y recolección previa de datos de Outlook. | CybersecurityNews, CyberPress, GBHackers | confirmed y attributed_by_source_as_uncertain |
| 2026-10-12 | Fuentes secundarias señalaron que la campaña de agosto habría apuntado a países de América Latina, con menciones a Argentina, Perú, Colombia y México. | GBHackers | attributed_by_source_as_uncertain |
| 2026-10-13 | Unit 42 publicó un análisis sobre Casbaneiro con una extensión Chromium maliciosa y un payload Delphi entregados en paralelo. | Unit 42 | confirmed |
| 2026-10-13 | El acceso inicial descrito por Unit 42 comenzó con phishing y culminó en la instalación de un cliente legítimo de acceso remoto desde un tenant de prueba abusado. | Unit 42 | confirmed |
| 2026-10-13 | El cliente remoto se instaló como servicio de Windows y permitió a los operadores ejecutar PowerShell. | Unit 42 | confirmed |
| 2026-10-13 | PowerShell descargó desde un servicio público una extensión Chromium desempaquetada y, por separado, una utilidad firmada con una DLL maliciosa. | Unit 42 | confirmed |
| 2026-10-13 | VmLauncher.exe, firmado por Caphyon Advanced Installer, cargó zlibai.dll mediante side-loading. | Unit 42 | confirmed |
| 2026-10-13 | La extensión Chromium consultó un archivo de texto del operador para obtener su WebSocket C2 y mantuvo sesión con pings periódicos. | Unit 42 | confirmed |
| 2026-10-13 | Unit 42 reportó dominios, IPs, hashes y artefactos de host asociados a la operación. | Unit 42 | confirmed |
Timeline de la operación
| Fecha | Evento | Actor/vector | Fuente verificada |
|---|---|---|---|
| 2025-09 | Aparición del nombre “Painel Gangster” en datos de panel filtrados o compartidos en un repositorio público. | Panel de operador | Unit 42 |
| 2026-08 | Señuelos con facturas, intimaciones y personalización con correo del destinatario, según coberturas secundarias. | Phishing documental | CyberPress, CybersecurityNews, GBHackers |
| 2026-10-12 | Coberturas secundarias agregan hipótesis de geografía objetivo en América Latina. | Lectura regional | GBHackers |
| 2026-10-13 | Unit 42 documenta una segunda línea de actividad con Casbaneiro, Metamorfo y Ponteiro. | Investigación de Unit 42 | Unit 42 |
| 2026-10-13 | Phishing inicial y abuso de tenant de prueba de un producto legítimo de acceso remoto. | Phishing, remote access tool | Unit 42 |
| 2026-10-13 | Instalación del cliente remoto como servicio de Windows. | Persistencia en host | Unit 42 |
| 2026-10-13 | Ejecución de PowerShell desde la sesión remota. | Living off the land | Unit 42 |
| 2026-10-13 | Descarga de extensión Chromium y de binario firmado más DLL maliciosa. | Delivery por PowerShell | Unit 42 |
| 2026-10-13 | Carga lateral de zlibai.dll mediante VmLauncher.exe. | DLL side-loading | Unit 42 |
| 2026-10-13 | Activación de WebSocket C2 y panel sobre 216.203.21[.]119. | C2 WebSocket | Unit 42 |
| 2026-10-13 | Tráfico C2 Delphi observado en 190.2.184[.]201, puertos 8082 y 8398. | C2 Delphi | Unit 42 |
| 2026-10-13 | Persistencia activa de infraestructura al momento del análisis. | Infraestructura activa | Unit 42 |
Cadena de ataque y TTPs
La primera línea observable en el material sigue una cadena clásica de intrusión con abuso de acceso remoto y doble carga final. El usuario recibe phishing, instala un cliente legítimo de acceso remoto obtenido desde un tenant de prueba abusado y esa herramienta queda corriendo como servicio de Windows. Desde allí los operadores logran interacción persistente, ejecutan PowerShell y descargan los componentes necesarios para desplegar tanto el módulo Delphi como la extensión Chromium.
La segunda línea, según las fuentes secundarias, se apoya en señuelos de documentos. Allí el malware habría recolectado contactos y metadatos de Outlook antes de pasar a la lógica vinculada con bancos. Esa fase previa, transmitida sin cifrar y marcada con un archivo .Outlook, sugiere que el operador no buscaba solamente robo bancario inmediato, sino también un preprocesamiento de la información de la víctima. La fuente principal de Unit 42 no confirma esa secuencia, pero sí muestra un patrón de operación modular y cuidadosamente segmentado.
En la carga Windows, el uso de VmLauncher.exe es central. La utilidad firmada de Caphyon Advanced Installer actuó como contenedor para zlibai.dll. Esa DLL imitó la biblioteca zlib, exportó funciones señuelo para engañar al entorno de carga, parcheó el punto de entrada del proceso anfitrión y redirigió la ejecución a su manejador. Una vez ahí, el malware ocultó su ventana, comprobó conectividad y ejecutó comandos descifrados con XOR y una tabla de 150 bytes.
En el navegador, la técnica fue distinta, pero igual de agresiva. La extensión se instaló localmente, sin Chrome Web Store, con Manifest V3 y permisos amplios. El hecho de solicitar storage, tabs, webNavigation, scripting, activeTab y cookies le daba acceso a navegación, sesiones y manipulación de páginas. Además, sus content scripts se ejecutaban en todas las URL y todos los frames, lo que expande la superficie de observación y reduce la dependencia de matching selectivo por sitio.
El componente más delicado es el WebSocket. Al arrancar, la extensión consulta un archivo de texto en un dominio del operador para obtener el endpoint activo. Luego crea un identificador de 10 caracteres en mayúsculas y sostiene la sesión con pings periódicos. Esto centraliza el control en tiempo real, habilita comandos interactivos y facilita la mezcla de actividades de observación, captura y manipulación visual, una mezcla que el actor usó para robar cookies, hacer screenshots, listar pestañas y controlar overlays HTML.
| TTP | Descripción | Fuente |
|---|---|---|
| Phishing inicial | El acceso comenzó con un correo de phishing que indujo la instalación de un cliente legítimo de acceso remoto. | Unit 42 |
| Abuso de tenant de prueba | El cliente remoto se obtuvo desde un tenant de prueba abusado por los operadores. | Unit 42 |
| Servicio de Windows | El cliente remoto quedó instalado como servicio, lo que sostuvo la persistencia interactiva. | Unit 42 |
| PowerShell | Los operadores ejecutaron PowerShell directamente en el host comprometido. | Unit 42 |
| DLL side-loading | VmLauncher.exe cargó zlibai.dll para redirigir la ejecución hacia el payload. | Unit 42 |
| WebSocket C2 | La extensión mantuvo control remoto mediante WebSocket. | Unit 42 |
| Captura de credenciales | El script capturó campos de formularios y contraseñas en todas las páginas. | Unit 42 |
| Inyección de overlays | El servidor ordenó inyectar o eliminar HTML controlado por el operador. | Unit 42 |
| Reescritura de navegación | Versiones anteriores reescribían destinos con webNavigation, aunque esa lógica fue retirada. | Unit 42 |
| Segmentación de infraestructura | La infraestructura de la extensión y la del payload Delphi estuvo separada en proveedores distintos. | Unit 42 |
Impacto regional
La lectura regional combina una operación técnica observada por Unit 42 con una campaña regional descrita por fuentes secundarias. La primera es verificable al detalle técnico, pero no confirma por sí sola geografía final de víctimas. La segunda introduce una capa más amplia, con señuelos personalizables, reportes de países objetivo y recolección previa de Outlook. La relación operativa entre ambas líneas no está confirmada en la fuente principal, por lo que deben tratarse por separado.
Panorama regional
Unit 42 observó una familia bancaria activa al momento del análisis, distribuida con una extensión Chromium maliciosa y con infraestructura viva tanto para el C2 del navegador como para el payload Delphi. La superficie técnica apunta a una operación madura, con paneles propios, segmentación de hosting y telemetría de navegación y formularios. El material secundario, por su parte, sugiere una campaña regional previa donde la personalización del señuelo y la recolección de Outlook antecedían al golpe bancario.
El dato más sólido para la región es la selección de objetivos. El panel analizado por Unit 42 incluía aproximadamente 65 portales bancarios portugueses y brasileños, 11 exchanges de criptomonedas y proveedores de webmail, incluidos dominios typosquatted. Eso no significa que todos esos objetivos hayan sido comprometidos, sino que forman el universo técnico que el operador tenía cargado en su panel. La lista muestra una estrategia selectiva sobre banca, cripto y correo web.
La otra pieza regional, la campaña de agosto descrita por medios secundarios, agrega una práctica útil para campañas de fraude en América Latina: el uso de señuelos con identidad del destinatario. La noticia menciona personalización con correo del usuario y temas como facturas, intimaciones o procedimientos judiciales. También habla de geofencing y de una cadena que no se limita al robo bancario, sino que comienza con recolección de datos de Outlook y termina con la activación del componente bancario.
Argentina
Las coberturas secundarias sitúan a Argentina entre los países objetivo de la campaña regional de agosto, pero esa geografía no está confirmada por la fuente principal de Unit 42. Lo verificable es que la campaña regional se describió con señuelos personalizados y que, en paralelo, la actividad analizada por Unit 42 operó con una extensión Chromium, un payload Delphi y un panel con objetivos bancarios y de webmail.
Perú
Perú aparece en el material como país mencionado por coberturas secundarias para la campaña regional de agosto. La fuente principal de Unit 42 no confirma esa delimitación geográfica, aunque sí documenta la cadena de entrega con phishing, acceso remoto abusado y dos cargas en paralelo. Para Perú, el dato relevante es la coexistencia de una narrativa regional y una investigación técnica distinta.
Colombia
Colombia figura en coberturas secundarias como parte de la supuesta geografía afectada por la campaña de agosto, pero Unit 42 aclara que su informe no la menciona explícitamente. La referencia sirve como indicio de lectura regional, no como confirmación de víctimas o de intrusión en ese país.
Brasil
Brasil aparece de forma consistente en el panel observado por Unit 42. La lista técnica incluía cerca de 65 portales bancarios portugueses y brasileños, además de exchanges y webmail. La fuente aclara que eso no prueba víctimas brasileñas ni una intrusión ocurrida en Brasil, pero sí muestra que los objetivos cargados por el operador contemplaban ese ecosistema financiero.
México
México fue mencionado en las coberturas secundarias como parte de la supuesta cobertura regional de agosto. Unit 42, sin embargo, no confirma esa atribución geográfica ni vincula de forma explícita su intrusión con la campaña regional. Lo comprobable en la línea principal es el uso de infraestructura distribuida y de una extensión capaz de interceptar credenciales, cookies y navegación.
Chile
No hay hechos verificables adicionales en el research para Chile. La fuente consultada no aporta una atribución geográfica confirmada ni indicadores específicos de ese país.
Paraguay
No hay hechos verificables adicionales en el research para Paraguay. El material disponible no permite asociar el país con una intrusión concreta ni con infraestructura publicada.
Bolivia
No hay hechos verificables adicionales en el research para Bolivia. El research no ofrece IOC, muestra ni contexto operativo específico para ese país.
Estados Unidos
No hay hechos verificables adicionales en el research para Estados Unidos. Aunque parte de la infraestructura fue alojada en proveedores distintos, el material no atribuye país víctima ni foco geográfico a Estados Unidos.
Indicadores técnicos
| Tipo | Valor | Fuente |
|---|---|---|
| Dominio | n1.youconnectedssl[.]digital | Unit 42 |
| Dominio | updatehostingfree[.]top | Unit 42 |
| Dominio | euromasterx[.]com | Unit 42 |
| Dominio | xdrivewin[.]com | Unit 42 |
| Dominio | uixfilepdfview[.]top | Unit 42 |
| Dominio | locuralocuralocuraloocura[.]top | Unit 42 |
| Dominio | arneighti[.]com | Unit 42 |
| Dominio | knowledgerknolle[.]com | Unit 42 |
| Dominio | learnflourishspace[.]com | Unit 42 |
| Dominio | zytherostudio[.]com | Unit 42 |
| IP | 216.203.21[.]119 | Unit 42 |
| IP | 190.2.184[.]201 | Unit 42 |
| IP | 216.203.20[.]116 | Unit 42 |
| IP | 65.38.121[.]128 | Unit 42 |
| IP | 134.209.200[.]162 | Unit 42 |
| IP | 142.93.109[.]181 | Unit 42 |
| IP | 45.76.69[.]213 | Unit 42 |
| IP | 45.61.136[.]99 | Unit 42 |
| URL | hxxps[:]//n1.youconnectedssl[.]digital/pt.txt | Unit 42 |
| URL | hxxps[:]//updatehostingfree[.]top/w.txt | Unit 42 |
| URL | hxxps[:]//euromasterx[.]com/kayaba/2.dll | Unit 42 |
| URL | hxxps[:]//euromasterx[.]com/good/VmLauncher.exe | Unit 42 |
| Hash SHA-256 | d180a1978cd547f8aa4c387f951c720f0b2ff9641a45a8153994a8f29cfdf610 | Unit 42 |
| Hash SHA-256 | 6cdf132ee130b4cec889e39e06b07559fb4119c61a62d48c03cf357f66eb8900 | Unit 42 |
| Hash SHA-256 | c14c25792af4e1552b54b4fe0aca6e405ed052b4ba4af67a439bfdad5b3919ed | Unit 42 |
| Hash SHA-256 | 36f7a35c3e811fc1f66836297bc7a5d1dcc8443e7873a6369fb6d5e99351d26a | Unit 42 |
| Hash SHA-256 | f91e37f4951dfd606c0faf9b77aa4e640f735a92319f10e572941e647a9b991d | Unit 42 |
| Artefacto de host | C:\Docstar\zlibai.dll | Unit 42 |
| Artefacto de host | C:\Docstar\VmLauncher.exe | Unit 42 |
| Artefacto de host | C:\Backup11\ptpt.zip | Unit 42 |
| Artefacto de host | C:\chrome\background.js | Unit 42 |
| Artefacto de host | C:\chrome\content_script.js | Unit 42 |
| Artefacto de host | C:\chrome\manifest.json | Unit 42 |
| Artefacto de host | chrome.exe --load-extension=C:\chrome | Unit 42 |
| Registro | HKCU\Software\Google\Chrome\PreferenceMACs\Default\extensions.settings | Unit 42 |
| Servicio | HKLM\SYSTEM\ControlSet001\Services\ScreenConnect Client | Unit 42 |
Análisis para equipos de seguridad
La prioridad operativa es detectar la combinación, no solo cada pieza aislada. Un cliente legítimo de acceso remoto instalado como servicio, seguido por PowerShell que descarga archivos desde dominios no relacionados con el negocio, y luego por chrome.exe con load-extension sobre un directorio local, forma una cadena muy distintiva. Esa secuencia ya justifica cacería en telemetría de endpoints, proxy y EDR.
En Windows, la observación de servicio asociado a ScreenConnect Client junto con un identificador de instancia de 16 caracteres hexadecimales debe cruzarse con ejecución de PowerShell y con descargas desde los dominios publicados. El artefacto C:\Docstar\zlibai.dll y la presencia de C:\Docstar\VmLauncher.exe son útiles como marcadores de postexplotación. Si hay evidencia de C:\Backup11\ptpt.zip o de C:\chrome\manifest.json, el equipo ya no está ante ruido de navegación, sino ante una cadena de intrusión con componentes persistentes.
En Chrome, la clave defensiva está en detectar extensiones cargadas lateralmente. El comando chrome.exe --load-extension=C:\chrome, sumado al borrado de HKCU\Software\Google\Chrome\PreferenceMACs\Default\extensions.settings, apunta a evasión de controles de integridad y a manipulación deliberada. También ayudan los identificadores DOM publicados por Unit 42, como _ext_injected_overlay_wrapper_id, _ext_injected_style_id y extbtn_submit, útiles para hunting en memoria, DOM y artefactos de navegador.
La lógica de comando y control merece atención específica. La extensión obtiene un archivo de texto plano para resolver el WebSocket y luego mantiene pings periódicos. Esa dependencia de un archivo de configuración la hace sensible a listas de bloqueo y a detección por solicitudes a rutas como /pt.txt o /w.txt. Además, el canal WebSocket y los comandos de captura de pantalla, cookies e inyección HTML deberían verse como conductas de alto riesgo cuando aparecen junto con permisos storage, tabs, webNavigation, scripting, activeTab y cookies.
Para la parte Delphi, la rutina XOR con tabla de 150 bytes y el uso de un ejecutable firmado para cargar una DLL con exportaciones señuelo son señales de empaquetado y ofuscación. No hace falta conocer el contenido exacto del comando descifrado para detectar la cadena. La combinación de una utilidad de instalación legítima, una DLL que imita zlib y un loader que oculta su ventana es suficiente para disparar investigación manual.
La cobertura regional secundaria agrega un vector de prevención previo. Si el correo de phishing contiene facturas, intimaciones o supuestos procedimientos judiciales, y además trae el correo del destinatario en el cuerpo, la probabilidad de personalización aumenta. Esa personalización debería ser correlacionada con telemetría de Outlook, creación del archivo .Outlook en %APPDATA% y cualquier envío de datos sin cifrar, porque en ese bloque la línea de tiempo puede diferir de la intrusión descrita por Unit 42.
Preguntas frecuentes
¿Qué diferencia práctica hay entre la campaña regional de agosto y la actividad analizada por Unit 42?
La campaña regional de agosto, según coberturas secundarias, usó señuelos de facturas e intimaciones y habría recolectado datos de Outlook antes de activar la lógica bancaria. La actividad de Unit 42 se centró en phishing, acceso remoto abusado, side-loading Delphi y una extensión Chromium con WebSocket. La relación entre ambas no está confirmada.
¿Qué parte del informe ayuda más a cazar la intrusión en un endpoint?
La secuencia de servicio remoto, PowerShell, chrome.exe --load-extension=C:\chrome y las rutas C:\Docstar\zlibai.dll o C:\chrome\manifest.json es la más útil para hunting. Esa combinación cruza la sección de Cadena de ataque y TTPs con Indicadores técnicos, y permite buscar persistencia, carga lateral y extensión cargada fuera de la tienda.
¿Por qué el panel no equivale a víctimas confirmadas?
Porque Unit 42 aclara que la lista de 65 portales bancarios, 11 exchanges y webmail es un alcance técnico observado en el panel, no un conteo de víctimas comprometidas. Esa precisión debe leerse junto con la sección de Contexto y antecedentes y con la tabla de Impacto regional, donde la selección de objetivos no se traduce en incidencia confirmada.
¿Qué rol cumplen los indicadores de navegador frente a los de red?
Los indicadores de red, como 216.203.21[.]119 o los dominios n1.youconnectedssl[.]digital y euromasterx[.]com, ayudan a detectar C2 y entrega. Los indicadores de navegador, como _ext_injected_overlay_wrapper_id o extbtn_submit, sirven para encontrar la capa de inyección en el DOM. Ambos se complementan y cruzan las secciones de TTPs e Indicadores técnicos.
¿Qué países pueden mencionarse con más certeza en el material?
Con certeza, el material principal vincula objetivos bancarios portugueses y brasileños dentro del panel, pero no confirma víctimas nacionales. Las coberturas secundarias mencionan Argentina, Perú, Colombia y México como países objetivo de la campaña regional de agosto. Brasil y México aparecen en secciones distintas, con distinto nivel de verificación, por eso conviene separarlos.
Limitaciones del material
La fuente principal de Unit 42 permite reconstruir con bastante detalle la segunda línea de actividad, pero no confirma la vinculación operativa con la campaña regional de agosto descrita por medios secundarios. Esa relación debe tratarse como no verificada.
Tampoco hay confirmación de víctimas concretas por país en la operación analizada por Unit 42. El panel mostraba objetivos bancarios portugueses y brasileños, 11 exchanges de criptomonedas y proveedores de webmail, pero eso no equivale a compromiso confirmado. La fuente además aclara que no afirma una intrusión ocurrida en Brasil ni menciona explícitamente a Colombia.
Los datos de agosto sobre Argentina, Perú, Colombia y México provienen de una cobertura secundaria con confianza atenuada. Sirven para contextualizar una posible geografía de la campaña regional, pero no para afirmar afectados específicos sin cruzarlos con telemetría propia.
Finalmente, el material no aporta detalles completos sobre la etapa inicial de la campaña regional más allá de los señuelos documentales, la recolección de Outlook y la marca .Outlook. No se publicaron todos los archivos, ni todas las variantes de la carga, ni una correlación técnica demostrada con la operación observada por Unit 42.
Fuentes
- Casbaneiro Banking Trojan Delays Main C2 Activity Until Victims Visit Banking Sitesmallory.ai· Mallory
- Casbaneiro Banking Trojan Uses Fake 403 Responses and Distributed Servers to Evade Detectioncyberpress.org· CyberPress
- Latin American firms face silent data theft from Casbaneiro until banking triggerscipherinsider.com· CipherInsider
- Casbaneiro Malware Hides C2 Activity Until Victims Visit Banking Websitescybersecuritynews.com· CybersecurityNews
- Casbaneiro Malware Hides C2 Activity Until Victims Visit Banking Websitescybersecuritynews.com· CybersecurityNews
- Casbaneiro Banking Trojan Paired With Malicious Chromium Extension and Delivered via Abused Remote Access Toolinggithub.com· Unit 42, Palo Alto Networks
- Casbaneiro Banking Trojan Activates Only When Victims Visit Targeted Bank Websitesgbhackers.com· GBHackers
- Casbaneiro Phishing Targets Latin America and Europe Using Dynamic PDF Luresthehackernews.com· The Hacker News
