O Mekotio tem estado ativo pelo menos desde 2015 e partilha características comuns com outros trojans deste tipo: é escrito em Delphi, usa janelas de pop-up falsas, contém funcionalidades de backdoor e tenta disfarçar-se de uma atualização de software. A equipa da ESET destaca que este malware foi desenhado especificamente para atacar apps bancárias em português e castelhano, tendo particular incidência sobre os utilizadores de Portugal, Espanha, Brasil, Chile e México.
Depois de instalado no computador da vítima, o Mekotio executa várias atividades em segundo plano, incluindo tirar capturas de ecrã, reiniciar a máquina várias vezes, restringir o acesso a sites de banca legítimos e, em alguns casos, roubar bitcoins e credenciais guardadas no Chrome. O malware consegue recolher detalhes técnicos como a configuração de firewall do PC, os privilégios de administração, qual a versão do Windows da máquina infetada e uma listagem de produtos anti-fraude e antimalware eventualmente instalados.
A distribuição é feita, essencialmente, através de spam. Desde 2018, os investigadores da ESET observaram um total de 38 cadeias de distribuição diferentes usadas por esta família de malware, com a maioria a terminar com o download de um ficheiro .ZIP.
Veja as conclusões da ESET e os detalhes técnicos no blogue WeLiveSecurity.
