ESET Latinoamérica alertó sobre una extensión fraudulenta en Google Chrome que simula ser una herramienta de seguridad, pero en realidad roba información bancaria y manipula transacciones.

El malware, identificado como JS/Spy.Banker.CV, afecta principalmente a usuarios en México y se propaga mediante correos electrónicos falsos que imitan a instituciones financieras. Esta amenaza no solo extrae datos sensibles, sino que también puede modificar visualmente páginas bancarias y sustituir datos de billeteras virtuales, permitiendo el desvío de fondos a cuentas controladas por cibercriminales.

¿Cómo opera el malware en Google Chrome?

El infostealer detectado por ESET se distribuye a través de archivos adjuntos comprimidos en correos electrónicos, aprovechando la confianza en instituciones financieras. Una vez instalado en el navegador, el malware analiza el comportamiento del usuario y, al detectar que accede a páginas financieras, modifica el DOM (Document Object Model) para mostrar formularios falsos con apariencia legítima. Toda la información ingresada en estos formularios es enviada a servidores controlados por los atacantes.

Identificación de los archivos maliciosos de la extensión maliciosa.

Además, esta amenaza tiene la capacidad de reemplazar datos de billeteras de criptomonedas y cuentas bancarias por información controlada por los cibercriminales. Según Mario Micucci, investigador de seguridad informática de ESET Latinoamérica, “este malware busca un rédito financiero claro, aprovechando la reputación de instituciones financieras en toda la región”.

Técnicas avanzadas de manipulación y persistencia

Durante el análisis, ESET identificó que la extensión maliciosa opera de manera sincronizada: mientras un componente recopila datos sensibles, otro manipula el entorno visual del usuario para inducir errores o desviar transferencias. El malware persiste en el navegador afectado y se ejecuta cada vez que el usuario lo utiliza.

Figura 1. Visualización de la extensión maliciosa en Google Chrome.

Figura 2. Descripción de la extensión maliciosa en el navegador.

El código malicioso contiene patrones en portugués y busca términos como “CPF”, “CNPJ” y “valor” en páginas financieras, lo que evidencia su enfoque en usuarios de Latinoamérica. Al detectar estos patrones, inyecta lógica maliciosa para reemplazar datos reales por información controlada por los atacantes.

Medidas de prevención y recomendaciones

ESET recomienda verificar siempre la procedencia de las extensiones instaladas en el navegador y asegurarse de que las fuentes sean confiables. También es crucial mantener actualizados los sistemas operativos y las soluciones de seguridad para detectar amenazas como JS/Spy.Banker.CV.