TCLBanker: el troyano bancario que se propaga como gusano a través de WhatsApp Web y Outlook

Investigadores de Elastic Security Labs reportaron la aparición de un nuevo troyano bancario, denominado TCLBanker, que se distribuye mediante un instalador MSI manipulado que se hace pasar por la herramienta "Logitech AI Prompt Builder". En lugar de un ataque crudo, el malware aprovecha la ejecución legítima de la aplicación vulnerable para cargar su código malicioso mediante DLL side‑loading, una técnica que le permite operar dentro del contexto de un proceso confiable y evadir muchas detecciones convencionales.

Además de las capacidades clásicas de un banking trojan —captura de credenciales mediante superposiciones gráficas (WPF overlays), registro de teclas, robo de portapapeles y control remoto de pantalla y ratón—, TCLBanker incorpora módulos de propagación que lo convierten en un gusano: explota sesiones activas de WhatsApp Web detectadas en perfiles de Chromium para secuestrar la cuenta y enviar mensajes de spam a contactos filtrados por formato telefónico, y abusa de Microsoft Outlook por automatización COM para enviar correos de phishing desde la bandeja de la víctima. Estas capacidades permiten que la campaña se auto‑disemine rápidamente a través de redes de contactos.

Los operadores del malware obtienen un conjunto amplio de funcionalidades en la máquina comprometida, desde transmisión en vivo de pantalla hasta ejecución remota de comandos y manipulación de ventanas para mostrar formularios falsos —por ejemplo, teclados PIN o pantallas de “soporte bancario”— cuidadosamente diseñadas para engañar al usuario. Para protegerse del análisis, el troyano emplea rutinas de desencriptado dependientes del entorno y un hilo vigilante que busca herramientas de depuración y frameworks de ingeniería inversa, dificultando su estudio en sandboxes y entornos forenses.

El alcance inicial reportado por Elastic apunta a 59 plataformas financieras y criptográficas, con un foco actual en Brasil (verificación de zona horaria, distribución de teclado y locales). Sin embargo, la historia de familias de malware latinoamericanas muestra que los autores suelen ampliar objetivos con el tiempo, por lo que el riesgo de expansión regional o internacional es real. El uso de instaladores supuestamente legítimos y la automatización del envío de phishing convierten a TCLBanker en un ejemplo de cómo herramientas cada vez más accesibles y modulares incrementan el peligro incluso para atacantes de menor sofisticación.

Para usuarios y administradores la primera línea de defensa es preventiva: no instalar software desde fuentes no verificadas y descargar siempre desde sitios oficiales del proveedor. Verificar firmas digitales de instaladores, validar hashes publicados por el fabricante y evitar archivos MSI de orígenes dudosos reduce la probabilidad de ejecución inicial. En equipos corporativos, aplicar políticas de control de aplicaciones como AppLocker o sistemas de whitelisting frena la ejecución de binarios no autorizados.

Reforzar cuentas críticas con autenticación multifactor resistente a phishing (por ejemplo, tokens FIDO2 o llaves físicas) limita el daño incluso si las credenciales son capturadas. Para proteger WhatsApp es recomendable activar la verificación en dos pasos dentro de la aplicación y cerrar sesiones activas en navegadores cuando no se usen; para correo, habilitar MFA, revisar firmas DKIM/DMARC/SPF y restringir automatizaciones innecesarias en Outlook mediante políticas de grupo.

Desde la perspectiva operativa y de detección, conviene monitorear comportamientos anómalos más que solo firmas: procesos legítimos que cargan DLLs desde rutas inusuales, instancias ocultas de Chromium que interactúan con IndexedDB, procesos que terminan el Administrador de tareas, conexiones WebSocket inusuales o la aparición de ventanas WPF que solicitan credenciales fuera de los canales habituales. Las organizaciones deben desplegar EDR con visibilidad de procesos hijos y reglas para alertar sobre automatizaciones COM que lancen Outlook con parámetros extraños.

Los bancos y proveedores de servicios financieros también deben reforzar controles en el backend: detectar patrones de acceso y transacción atípicos, exigir re‑verificación multicanal para operaciones sensibles y educar a clientes sobre señales de fraude —por ejemplo, solicitudes de PIN o códigos en pantallas emergentes— que nunca deberían introducirse en ventanas no oficiales. La colaboración entre entidades financieras, CERTs y la comunidad de seguridad es esencial para compartir indicadores y bloquear dominios o infrastructuras maliciosas rápidamente.

Para quienes quieran profundizar, el informe técnico original aporta detalles sobre MOs, indicadores y trazas que sirven para la mitigación: Informe de Elastic Security Labs sobre TCLBanker. Para guías prácticas y medidas de endurecimiento frente a malware en general, las recomendaciones de la agencia nacional de seguridad cibernética norteamericana ofrecen controles aplicables en entornos empresariales y personales: CISA – Malware.

En resumen, TCLBanker ejemplifica cómo la combinación de técnicas de evasión, abuso de aplicaciones legítimas y opciones de autopropegación convierten un kit malicioso en una amenaza multiplicadora. La mejor defensa combina prevención en la cadena de instalación, fortalecimiento de la autenticación, controles de endpoint y detección basada en comportamiento para identificar y contener infecciones antes de que se propaguen por redes de contactos y sistemas organizacionales.