GoPix se ha convertido en una de las amenazas más sofisticadas surgidas de Brasil en el terreno del cibercrimen financiero.
Este troyano bancario, activo desde hace años, pone en el punto de mira a clientes de entidades financieras y a usuarios de criptomonedas mediante un modelo de ataque que combina código cargado solo en memoria, scripts de PowerShell ofuscados y una estrategia de evasión especialmente cuidada.
Lejos de funcionar como los troyanos bancarios brasileños más conocidos, GoPix ha evolucionado hacia una operación más sigilosa y compleja. Su objetivo no es solo robar datos, sino también manipular transacciones, interceptar comunicaciones y evitar el análisis de los equipos de seguridad.
¿Qué hace diferente a GoPix frente a otros troyanos bancarios?
La principal diferencia de GoPix está en su capacidad para operar casi sin dejar rastro en el disco. En lugar de depender de archivos fáciles de detectar, este malware carga buena parte de sus componentes directamente en memoria, dificultando tanto la detección por firmas como el trabajo de análisis forense.
Además, utiliza una cadena de infección muy elaborada, con múltiples capas de ofuscación y servidores de mando y control de vida muy corta, que a veces solo permanecen activos durante unas horas. Ese detalle complica aún más el rastreo de la operación.
Los investigadores también destacan que el grupo detrás de GoPix selecciona con cuidado a sus víctimas.
No se trata de una campaña masiva lanzada sin filtro, sino de una amenaza que valida objetivos antes de entregar la carga maliciosa, usando incluso servicios legítimos de reputación y antifraude para descartar entornos de análisis o sandbox.
Así empieza la infección: anuncios falsos y software trampa
La puerta de entrada de GoPix son campañas de malvertising, especialmente a través de anuncios en Google Ads. Los atacantes usan cebos relacionados con servicios populares como WhatsApp, Google Chrome o Correios, el servicio postal brasileño, para atraer a las víctimas hacia páginas maliciosas que simulan descargas legítimas.
Una vez dentro de esa web, el sistema analiza si el visitante es una persona real con valor para los atacantes o si, por el contrario, podría tratarse de un entorno automatizado de análisis. Solo si supera ese filtro recibe el instalador malicioso. Si no, es redirigido a una página inofensiva para no levantar sospechas.
Este paso demuestra uno de los rasgos más avanzados de GoPix: no solo intenta infectar, también decide a quién le merece la pena atacar.
Una cadena de infección pensada para esquivar la detección
Cuando la víctima es considerada válida, GoPix adapta incluso la vía de infección según el software de seguridad detectado en el equipo. Si identifica ciertos productos de Avast, entrega un archivo ZIP con un acceso directo LNK que ejecuta un comando de PowerShell ofuscado. En otros casos, distribuye un falso instalador en formato NSIS, firmado además con un certificado robado.
A partir de ahí, la amenaza descarga nuevas etapas desde servidores remotos y recopila información del sistema comprometido. Después guarda varios componentes en el equipo, entre ellos scripts de PowerShell cifrados, shellcode, configuración y el implante principal. Sin embargo, el punto clave es que la ejecución importante se produce en memoria.
El script descifra los módulos y los carga directamente en memoria, evitando escribir el contenido sensible en el disco. Incluso los binarios cargados eliminan su firma “MZ”, un truco que dificulta que herramientas de volcado de memoria los identifiquen como ejecutables PE tradicionales.
Inyección en navegadores y salto entre procesos
Otro elemento llamativo de GoPix es su capacidad para moverse entre procesos y aprovechar el navegador de la víctima como plataforma de ejecución. El dropper comprueba primero si está corriendo en Explorer.exe y, después, localiza navegadores instalados como Chrome, Firefox, Edge u Opera.
Cuando encuentra uno, lo lanza en estado suspendido e inyecta allí el shellcode del implante principal. De esta forma, el malware opera dentro de un proceso legítimo y muy habitual, lo que reduce las posibilidades de ser detectado por soluciones defensivas tradicionales.
Este comportamiento, junto con el uso de llamadas directas al sistema y técnicas de cifrado específicas para cadenas internas, refleja un salto cualitativo frente a familias brasileñas más clásicas.
GoPix vigila Pix, boletos y carteras de criptomonedas
Entre sus funciones más delicadas destaca la monitorización del portapapeles. GoPix es capaz de detectar datos relacionados con pagos mediante Pix, boletos bancários y direcciones de carteras de Bitcoin o Ethereum.
En el caso de las transacciones Pix o los boletos, el malware recopila la información y la envía a su infraestructura de mando y control. Pero con las criptomonedas va un paso más allá: cuando detecta una dirección de wallet copiada en el portapapeles, la reemplaza por otra controlada por los atacantes, desviando así los fondos sin que la víctima lo note fácilmente.
Este tipo de secuestro del portapapeles lleva tiempo usándose en campañas criminales, pero la integración de GoPix dentro de una operación tan compleja amplía su peligrosidad.
El ataque más llamativo: un man-in-the-middle contra webs financieras legítimas
Uno de los puntos más inquietantes del análisis es su capacidad para ejecutar ataques man-in-the-middle sobre sitios financieros reales. Para ello, GoPix recurre a archivos PAC, una técnica antigua en el ecosistema del cibercrimen brasileño, pero la lleva a un nivel mucho más sofisticado.
En lugar de redirigir a la víctima a una página falsa, el malware manipula el tráfico mientras el usuario navega por la web legítima del banco o la entidad financiera. Para ocultar los objetivos, usa valores CRC32 en vez de dejar visibles los dominios en texto claro, y apoya esta lógica en un archivo de configuración que determina a qué proxy debe enviar el tráfico.
Además, el malware comprueba qué proceso ha iniciado la conexión al proxy. Si no corresponde a uno de los navegadores contemplados por los atacantes, cierra la conexión. Esa validación adicional ayuda a esconder la infraestructura maliciosa y dificulta el análisis.
¿Cómo logra interceptar conexiones HTTPS?
Como gran parte de la comunicación bancaria viaja cifrada mediante HTTPS, GoPix añade otra técnica crítica: la inyección de un certificado raíz de confianza en la memoria del navegador de la víctima.
Con ese movimiento, los atacantes pueden inspeccionar e incluso modificar el tráfico cifrado sin que el certificado malicioso aparezca de forma evidente en las herramientas habituales del sistema operativo. Es una maniobra especialmente peligrosa porque abre la puerta a alterar operaciones financieras reales desde dentro de una sesión aparentemente segura.
Los investigadores hallaron al menos dos certificados distintos en muestras analizadas, lo que apunta a un mantenimiento activo de la operación y a una infraestructura adaptada para seguir funcionando en el tiempo.
Un malware persistente y preparado para resistir la respuesta forense
La persistencia de GoPix no depende únicamente de quedarse oculto. También incorpora mecanismos de limpieza y supervivencia pensados para complicar los esfuerzos de respuesta ante incidentes.
Su combinación de implantes en memoria, shellcodes cifrados, cadenas protegidas y servidores efímeros hace que los métodos clásicos de detección, incluidas muchas reglas YARA centradas en artefactos en disco, pierdan eficacia.
A eso se suma el uso de servicios legítimos para filtrar objetivos, una táctica más propia de grupos avanzados que de campañas bancarias tradicionales. Esa mezcla de selección precisa, evasión y manipulación del tráfico demuestra que el grupo responsable está aprendiendo y adoptando prácticas habituales de actores APT.