Astaroth
Ficha presunta. Sus datos vienen de reportes públicos que nombran al arma (fuentes al pie) y todavía no los corrobora una segunda fuente independiente. Cuando otra fuente coincida, la ficha pasa a verificada.
Qué es
Troyano bancario latinoamericano escrito en Delphi, conocido públicamente desde finales de 2017 y registrado en catálogos de amenazas.
Cómo llega
Se distribuye mediante correos electrónicos geolocalizados en Brasil, según reportes de infección de la variante Guildma.
Qué hace una vez dentro
Astaroth roba información, específicamente credenciales bancarias y datos financieros de las víctimas para su exfiltración, según el catálogo de amenazas.
A quién ataca
Empresas y usuarios en Europa, Brasil y toda América Latina, con foco en el robo de credenciales bancarias.
Técnicas de MITRE ATT&CK
| Táctica | Técnica | ID |
|---|---|---|
| Acceso inicial | Spearphishing Attachment | T1566.001 |
| Ejecución | Windows Management Instrumentation | T1047 |
| Ejecución | Windows Command Shell | T1059.003 |
| Ejecución | Visual Basic | T1059.005 |
| Ejecución | JavaScript | T1059.007 |
| Ejecución | Shared Modules | T1129 |
| Ejecución | Malicious File | T1204.002 |
| Persistencia | Registry Run Keys / Startup Folder | T1547.001 |
| Persistencia | Shortcut Modification | T1547.009 |
| Sigilo | Software Packing | T1027.002 |
| Sigilo | Command Obfuscation | T1027.010 |
| Sigilo | Encrypted/Encoded File | T1027.013 |
| Sigilo | Process Hollowing | T1055.012 |
| Sigilo | Deobfuscate/Decode Files or Information | T1140 |
| Sigilo | Compiled HTML File | T1218.001 |
| Sigilo | Regsvr32 | T1218.010 |
| Sigilo | XSL Script Processing | T1220 |
| Sigilo | System Checks | T1497.001 |
| Sigilo | Hidden Window | T1564.003 |
| Sigilo | NTFS File Attributes | T1564.004 |
| Sigilo | DLL | T1574.001 |
| Acceso a credenciales | Unsecured Credentials | T1552 |
| Acceso a credenciales | Credentials from Password Stores | T1555 |
| Descubrimiento | System Network Configuration Discovery | T1016 |
| Descubrimiento | Process Discovery | T1057 |
| Descubrimiento | System Information Discovery | T1082 |
| Descubrimiento | System Time Discovery | T1124 |
| Descubrimiento | Security Software Discovery | T1518.001 |
| Recolección | Keylogging | T1056.001 |
| Recolección | Local Data Staging | T1074.001 |
| Recolección | Clipboard Data | T1115 |
| Comando y control | Dead Drop Resolver | T1102.001 |
| Comando y control | Ingress Tool Transfer | T1105 |
| Comando y control | Standard Encoding | T1132.001 |
| Comando y control | Domain Generation Algorithms | T1568.002 |
| Exfiltración | Exfiltration Over C2 Channel | T1041 |
Fuente: MITRE ATT&CK v20 (S0373).
Actividad en feeds públicos
| Tipo de indicador | Nuevos en 30 días |
|---|---|
| Servidores de comando y control (IP:puerto) | 0 |
| Dominios | 66 |
| URLs | 0 |
| Hashes de archivos | 0 |
En seguimiento desde el 5-nov-2026; último indicador nuevo el 5-nov-2026. Fuente: ThreatFox y URLhaus de abuse.ch.
Fuentes
- MITRE ATT&CK S0373: Astaroth
- Malpedia: win.astaroth
- AlienVault OTX: IOC - Inside Brazil’s Financial Malware Ecosystem: Deep Dive into the Astaroth (2026-11-04)
- AlienVault OTX: Guildma (Astaroth) Malware Infection via Geofenced Brazilian Email (2026-10-02)
- AlienVault OTX: Astaroth - Malware Domain Feed V2 (2026-09-06)
← Todo el catálogo de armamento
