Operation GoPix Bank Fraud

Operation GoPix Bank Fraud es el nombre que recibe una campaña de malware financiero en curso, dirigida específicamente contra usuarios brasileños de Windows. La operación es conocida por la evolución constante del troyano bancario GoPix, que ha pasado de simplemente desviar transacciones de Pix a interceptar y manipular comprobantes bancarios (boletos) y direcciones de billeteras de criptomonedas. La campaña se distingue por su uso de técnicas avanzadas de evasión, como la inyección de certificados digitales falsos directamente en la memoria del navegador y el uso de infraestructura de corta duración, lo que la hace particularmente sigilosa y difícil de rastrear.

Nombres Alternativos / Aliases

• Troyano GoPix (Nombre del malware)
• Campaña de Fraude Bancario con Certificados en Memoria (Por la técnica clave utilizada)
• Malware Financiero Brasileño (Por su geolocalización y objetivo)

Fecha de Detección / Actividad

• Inicio de Actividad: Diciembre de 2022 (Primeras campañas detectadas).
• Actualización de Capacidades: 16 de marzo de 2026 (Alerta de Kaspersky sobre nuevas funciones de robo de boletos y criptomonedas).
• Estado: Activa / En evolución constante. Los atacantes refinan continuamente el malware para incorporar nuevos objetivos y métodos de evasión.

Actor de Amenaza (Atribución)

• Atribución: No se atribuye a un grupo específico con nombre, pero se sabe que es de origen brasileño y opera enfocado en el sistema financiero de Brasil.
• Tipo de Actor: Cibercriminales con motivación financiera.
• Motivación: Robo directo de fondos mediante el desvío de transacciones financieras (Pix, boletos) y criptomonedas.
• Sofisticación: Alta. La combinación de múltiples vectores de robo (portapapeles, tráfico web) con la capacidad de inyectar certificados falsos en la memoria del navegador y el uso de una infraestructura C2 extremadamente volátil demuestra un alto nivel de sofisticación y conocimiento técnico.

Resumen Ejecutivo

Operation GoPix Bank Fraud es una campaña de malware que se aprovecha de la confianza de los usuarios en los resultados de búsqueda de Google para distribuir el troyano GoPix. Los atacantes utilizan anuncios maliciosos (malvertising) que imitan a servicios legítimos y populares como WhatsApp, Google Chrome o los servicios postales brasileños (Correios). Al hacer clic en el anuncio, la víctima es dirigida a un sitio fraudulento que, tras verificar si es un objetivo de interés (cliente de un banco brasileño, usuario de criptomonedas, etc.), le ofrece un instalador falso.

Una vez instalado, GoPix emplea un enfoque de múltiples capas para el fraude:

1. Manipulación del Portapapeles: Vigila y reemplaza cualquier clave Pix, código de boleto o dirección de criptomonedas copiada por la víctima, desviando los fondos al pegar los datos del atacante.
2. Proxy Local (PAC): Utiliza archivos de configuración de proxy para interceptar y modificar el tráfico web hacia sitios bancarios, incluso aquellos protegidos con HTTPS.
3. Inyección de Certificados en Memoria: Su técnica más avanzada. Inyecta un certificado digital falso directamente en la memoria del navegador. El navegador lo acepta como legítimo, permitiendo al troyano actuar como "hombre en el medio" (MitM) y robar credenciales y detalles de transacciones en tiempo real, sin ser detectado por herramientas de seguridad que escanean el disco.

Vectores de Ataque

• Malvertising (Anuncios Maliciosos): El vector de ataque principal. Los criminales pagan por anuncios en Google que aparecen cuando los usuarios buscan software popular.
  • Atracción: El usuario busca programas como WhatsApp, Chrome o acceder al sitio de Correios.
  • Engaño: Hace clic en un anuncio patrocinado que parece legítimo pero dirige a un sitio web controlado por los atacantes.
  • Ejecución: El sitio falso verifica el perfil de la víctima y, si es adecuada, le ofrece un instalador infectado. Al descargarlo y ejecutarlo, la víctima instala el troyano GoPix en su sistema.

Técnicas, Tácticas y Procedimientos (TTPs)

Táctica (MITRE ATT&CK)	Técnica	Descripción / Implementación
Ejecución (TA0002)	User Execution: Malicious File (T1204.002)	La víctima ejecuta voluntariamente el instalador falso descargado desde el sitio de malvertising.
Persistencia (TA0003)	Boot or Logon Autostart Execution (T1547)	(Potencial) Es común que el malware se instale en el registro o carpeta de inicio para asegurar su ejecución tras cada reinicio.
Evasión de Defensas (TA0005)	Subvert Trust Controls: Code Signing (T1553.002)	Técnica clave. GoPix inyecta un certificado digital falso en la memoria del navegador para que este confíe en la conexión MitM del atacante.
Evasión de Defensas (TA0005)	Impair Defenses: Disable or Modify Tools (T1562.001)	(Potencial) Podría intentar deshabilitar el software de seguridad de la víctima.
Evasión de Defensas (TA0005)	Obfuscated Files or Information (T1027)	El malware y sus componentes pueden estar ofuscados para evitar la detección por firmas.
Acceso de Credenciales (TA0006)	Input Capture (T1056)	Actuando como MitM, GoPix puede capturar credenciales bancarias y otros datos sensibles introducidos por el usuario en el navegador.
Descubrimiento (TA0007)	System Information Discovery (T1082)	El sitio falso verifica si la víctima es cliente de un banco brasileño o usuario de criptomonedas antes de entregar la carga útil.
Descubrimiento (TA0007)	Software Discovery (T1518)	Podría identificar qué navegador o software de seguridad está instalado para adaptar su ataque.
Colección (TA0009)	Clipboard Data (T1115)	Técnica clave. GoPix monitoriza el portapapeles en busca de claves Pix, códigos de boleto y direcciones de criptomonedas para reemplazarlas.
Colección (TA0009)	Input Capture (T1056)	Puede capturar las credenciales bancarias a través de la inyección de certificados falsos.
Mando y Control (TA0011)	Application Layer Protocol: Web Protocols (T1071.001)	El malware se comunica con sus servidores C2 mediante peticiones web.
Mando y Control (TA0011)	Non-Application Layer Protocol (T1095)	(Potencial) Podría usar protocolos de red de nivel inferior para comunicaciones más sigilosas.
Mando y Control (TA0011)	Ingress Tool Transfer (T1105)	El servidor C2 puede enviar nuevas instrucciones o módulos al malware en la víctima.

Flujo de Ataque (Kill Chain)

1. Reconocimiento e Inteligencia: Los atacantes identifican los servicios más buscados por su público objetivo (ej. brasileños) para crear anuncios atractivos.
2. Compromiso Inicial (Entrega): Publican anuncios maliciosos en Google. La víctima, buscando un software legítimo, hace clic en el anuncio y es redirigida a un sitio web fraudulento.
3. Perfilado del Host: El sitio web malicioso verifica si el visitante es un objetivo de valor (cliente bancario, usuario de criptomonedas). Si no lo es, la infección podría detenerse para evitar levantar sospechas.
4. Ejecución del Código: La víctima descarga e instala el troyano GoPix, creyendo que es el software que buscaba.
5. Establecimiento de Control (C2): El malware instalado se conecta con sus servidores de comando y control (C2) para recibir instrucciones y reportar su éxito.
6. Acciones sobre el Objetivo:
   • Proxy y MitM: Configura un proxy local e inyecta un certificado falso en el navegador para interceptar y modificar el tráfico bancario.
   • Robo de Portapapeles: Vigila constantemente el portapapeles para desviar fondos cuando la víctima pega datos financieros.
   • Fraude: El dinero de las transferencias de Pix, los pagos de boletos o las transacciones de criptomonedas son redirigidos a las cuentas de los criminales sin que la víctima lo note.

Infraestructura Utilizada

Tipo	Ejemplos / Características	Propósito
Plataforma de Anuncios	Google Ads	Para difundir los enlaces maliciosos a gran escala y con apariencia legítima.
Servidores Web (Fase 1)	Sitios web fraudulentos que imitan a servicios como WhatsApp, Chrome, Correios.	Alojar el señuelo y distribuir el instalador del malware.
Servidores C2 (Fase 2)	Servidores de comando y control con vida útil extremadamente corta. Se crean, usan y destruyen rápidamente.	Distribuir instrucciones al malware y recibir datos robados. Su corta vida dificulta el rastreo y la toma de medidas legales.
Herramientas Legítimas Abusadas	Archivos PAC (Proxy Auto-Config), Navegadores web.	Los archivos PAC redirigen el tráfico; los navegadores son el objetivo de la inyección de certificados falsos.

Objetivos y Sectores Atacados

• Objetivo Principal: Usuarios de habla portuguesa (Brasil) de ordenadores con Windows.
• Sectores: Principalmente clientes de entidades bancarias brasileñas. También se enfoca en usuarios de criptomonedas y, potencialmente, en empleados de agencias gubernamentales o grandes empresas (mencionado como parte del perfilado de víctimas).
• Sistemas Afectados: Sistemas operativos Microsoft Windows.

Impacto y Riesgo

• Nivel de Riesgo: Crítico para los usuarios en Brasil.
• Impacto Financiero: Robo directo de dinero a través del desvío de transacciones Pix, pago de boletos y envío de criptomonedas. Pérdidas económicas inmediatas para la víctima.
• Impacto en la Confidencialidad: Robo de credenciales bancarias completas, lo que puede llevar al vaciado de cuentas. Exposición de información financiera sensible.
• Impacto en la Integridad: El sistema está comprometido y puede ser utilizado para otras actividades maliciosas.
• Carácter de la Amenaza: Es una amenaza financiera directa y altamente sigilosa. La dificultad de detección (especialmente por la técnica del certificado en memoria y los C2 de corta duración) permite que los robos ocurran sin que la víctima sepa cómo ni cuándo, hasta que es demasiado tarde.

Recomendaciones de Mitigación

• Recomendaciones Técnicas (Mitigación)
  • Desconfiar de los Anuncios: Evitar hacer clic en anuncios patrocinados para descargar software. Es más seguro escribir la dirección oficial del sitio web directamente en el navegador.
  • Mantener el Software Actualizado: Mantener el sistema operativo, navegadores y software de seguridad siempre actualizados.
  • Usar una Solución de Seguridad Robusta: Emplear un antimalware de pago con capacidades de detección heurística y de comportamiento, no solo basada en firmas. Kaspersky y otras firmas ofrecen protección contra este tipo de amenazas.
  • Verificar las Transacciones: Antes de confirmar un pago, verificar siempre los datos del beneficiario (nombre, CPF/CNPJ). Desconfiar si los datos pegados no coinciden con lo que se copió.
  • Navegación Segura: Utilizar extensiones del navegador que bloqueen anuncios y scripts maliciosos.
• Recomendaciones Preventivas (Basadas en MITRE ATT&CK)
  • User Training (M1017): Educar a los usuarios sobre los riesgos del malvertising. Reforzar que los instaladores de software solo deben descargarse desde las páginas oficiales de los desarrolladores y nunca a través de enlaces de anuncios.
  • Application Isolation and Sandboxing (M1048): Utilizar navegadores web en entornos aislados o utilizar funciones como el Application Guard de Microsoft para reducir el impacto de visitar un sitio malicioso.
  • Behavior Prevention on Endpoint (M1040): Implementar soluciones EDR que monitoricen comportamientos anómalos, como la modificación de la configuración de red (archivos PAC) o la inyección de código en procesos del navegador.

Herramientas de Detección

• Soluciones EDR: Pueden detectar la creación de archivos PAC no autorizados, la inyección de código en procesos de navegadores (como chrome.exe o firefox.exe), o conexiones de red anómalas desde procesos del sistema.
• SIEM con Correlación de Eventos: Correlacionar la instalación de software con cambios en la configuración de red (proxy) puede alertar sobre una posible infección por GoPix.
• Monitorización de Red: Analizar el tráfico en busca de comunicaciones con dominios de vida corta o patrones de comunicación inusuales.

Indicadores de Compromiso (IOCs)

• Artefactos en el Sistema de la Víctima
  • Archivos: Presencia de archivos .pac (Proxy Auto-Config) no configurados por el usuario o la empresa. Instaladores falsos de aplicaciones conocidas.
  • Procesos: Comportamiento anómalo de procesos del navegador (ej. conexiones de red inusuales).
  • Certificados: Aparición de certificados digitales no solicitados en la memoria del navegador (difícil de detectar para el usuario, pero posible con herramientas forenses).
• Infraestructura de C2 y Extorsión
  • Dominios: Se sabe que los servidores C2 tienen una vida útil extremadamente corta, por lo que los IOC son volátiles. Se recomienda monitorizar el tráfico saliente hacia direcciones IP y dominios recién registrados o con patrones de comportamiento sospechoso.

Referencias y Fuentes

• Figueiredo, A. L. (2026, Marzo 17). El troyano GoPix ahora roba pagos de Pix, comprobantes bancarios y criptomonedas. Olhar Digital. (Artículo original con la alerta de Kaspersky).
• MITRE ATT&CK Framework: Mapeo de TTPs (T1553.002, T1115, T1071, T1204.002, etc.).

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-03-18	1.0	Fernando Vargas Hincapie	Creación inicial de la entrada en la wiki basada en el análisis de la campaña GoPix.

Etiquetas / Categorías

gopix troyano-bancario brasil malvertising pix boleto criptomonedas windows mitm inyeccion-certificados fraude-financiero kaspersky ciberwiki threat-intelligence t1553.002 t1115