Grandoreiro
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Es un troyano bancario escrito en Delphi que opera bajo un modelo de malware como servicio. Fue observado por primera vez en 2016 y posee una arquitectura modular que descarga capacidades ofensivas adicionales.
Cómo llega
Sin evidencia en las fuentes de la base.
Qué hace una vez dentro
Grandoreiro opera como troyano bancario con arquitectura modular que descarga capacidades ofensivas adicionales bajo un modelo de servicio.
A quién ataca
Grandoreiro tiene víctimas confirmadas en Brasil, México, Portugal y España, según registros de inteligencia de amenazas.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Drive-by Compromise | T1189 |
| Acceso inicial | Spearphishing Link | T1566.002 |
| Ejecución | Visual Basic | T1059.005 |
| Ejecución | Native API | T1106 |
| Ejecución | Malicious Link | T1204.001 |
| Ejecución | Malicious File | T1204.002 |
| Persistencia | Browser Extensions | T1176.001 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Persistencia | Shortcut Modification | T1547.009 |
| Escalada de privilegios | Bypass User Account Control | T1548.002 |
| Sigilo | Binary Padding | T1027.001 |
| Sigilo | Fileless Storage | T1027.011 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | Match Legitimate Resource Name or Location | T1036.005 |
| Sigilo | File Deletion | T1070.004 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Msiexec | T1218.007 |
| Sigilo | System Checks | T1497.001 |
| Debilitamiento de defensas | Modify Registry | T1112 |
| Debilitamiento de defensas | Windows Permissions | T1222.001 |
| Debilitamiento de defensas | Disable or Modify Tools | T1685 |
| Debilitamiento de defensas | Disable or Modify System Firewall | T1686 |
| Debilitamiento de defensas | Network Device Firewall | T1686.002 |
| Acceso a credenciales | Steal Web Session Cookie | T1539 |
| Acceso a credenciales | Credentials from Web Browsers | T1555.003 |
| Descubrimiento | Application Window Discovery | T1010 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | System Owner/User Discovery | T1033 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | Email Account | T1087.003 |
| Descubrimiento | System Time Discovery | T1124 |
| Descubrimiento | Security Software Discovery | T1518.001 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Clipboard Data | T1115 |
| Recolección | Browser Session Hijacking | T1185 |
| Comando y control | Web Protocols | T1071.001 |
| Comando y control | Dead Drop Resolver | T1102.001 |
| Comando y control | Bidirectional Communication | T1102.002 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Domain Generation Algorithms | T1568.002 |
| Comando y control | Asymmetric Cryptography | T1573.002 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: MITRE ATT&CK v20 (S0531).
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 30 |
| Dominios | 16 |
| URLs | 11 |
| Hashes de archivos | 4 |
En seguimiento desde el 24-oct-2026; último indicador nuevo el 11-nov-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
- MITRE ATT&CK S0531: Grandoreiro
- Malpedia: win.grandoreiro
- AlienVault OTX: Grandoreiro against Mexico: cloud C2 and rented delivery hosts (2026-10-17)
- AlienVault OTX: Grandoreiro CleanHub Post-Takedown Loader - FNV-XOR C2 Protocol (Sep 2026) (2026-10-01)
- AlienVault OTX: IOC - Grandoreiro goes north: From Brazil to Mexico with a new DLL sideloading campaign (2026-08-21)
← Todo el catálogo de armamento
