- Peru, Mexic, Argentina, Brazilia și Columbia concentrează cea mai mare activitate de programe malware din America Latină, conform unor date telemetrice recente.
- Campaniile au în comun familii de atacuri precum Rugmi, phishing PDF/HTML, exploit-uri vechi și troieni bancari reutilizați la scară regională.
- Cele mai vizate sectoare sunt organismele publice, sănătatea, finanțele și organizațiile cu infrastructură învechită.
- Actualizarea sistemelor, securizarea tuturor gazdelor și utilizarea informațiilor externe despre amenințări sunt măsuri cheie pentru reducerea riscurilor.
Creșterea criminalității cibernetice în America Latină nu mai este o amenințare îndepărtată sau ceva care afectează doar marile puteri. În ultimii ani, Peru, Mexic, Argentina, Brazilia și Columbia au devenit epicentrul regional al activității malware , cu campanii care sunt reutilizate, rafinate și mutate dintr-o țară în alta cu o ușurință alarmantă. Departe de a fi cazuri izolate, incidentele care apar în știri sunt doar vârful aisbergului unei probleme mult mai mari.
Datorită datelor de telemetrie de la companii specializate precum ESET, este posibil să se creeze o „hartă completă a activității malware din America Latină” bazată pe date reale de detectare din ultimul an. Această hartă nu numai că dezvăluie care țări sunt cele mai afectate de atacuri, dar și ce tipuri de malware sunt cele mai răspândite, ce sectoare sunt cel mai afectate și ce tipare comune exploatează infractorii cibernetici pentru a opera în regiune.
Harta criminalității cibernetice din America Latină: o prezentare generală
Datele telemetrice colectate în ultimul an arată că Peru, Mexic, Argentina, Brazilia și Columbia reprezintă majoritatea activității malware din regiune . Volumul detectărilor și varietatea amenințărilor din aceste teritorii indică în mod clar că acestea nu sunt atacuri sporadice, ci mai degrabă campanii bine structurate.
Analizând detecțiile pe țări, anumite familii de coduri malițioase apar în mod repetat, cum ar fi Trojan.Win32/TrojanDownloader.Rugmi.AOS, diferite variante de phishing PDF și HTML, troieni bancari și exploit-uri mai vechi care sunt încă eficiente . Această repetare a tiparelor sugerează că unele grupuri criminale reutilizează aceleași instrumente în mai multe țări sau chiar colaborează între ele pentru a-și maximiza impactul.
Prezența acelorași familii de programe malware în teritorii diferite poate fi interpretată în două moduri complementare: pe de o parte, cooperarea sau partajarea resurselor între grupuri care operează în America Latină ; pe de altă parte, existența unor campanii concepute de la început pentru a funcționa la scară regională. În ambele cazuri, rezultatul este un ecosistem infracțional mai profesionalizat și mai coordonat.
Un alt aspect evidențiat în această hartă este utilizarea în mai multe etape a programelor malware. Atacatorii folosesc frecvent programe de descărcare precum Rugmi pentru a sonda mediul înainte de a lansa principala sarcină utilă malițioasă . Această abordare etapizată complică detectarea timpurie, împiedică analiza artefactelor și testează capacitățile de răspuns ale echipelor de securitate.
Dincolo de tehnologie, există și factori structurali care explică de ce aceste cinci țări suportă greul amenințării: populații numeroase conectate, sectoare critice cu resurse limitate de securitate cibernetică, infrastructuri eterogene și, în multe cazuri, sisteme învechite . Toate acestea fac ca aceste națiuni să fie ținte extrem de atractive pentru campanii de phishing, ransomware, spionaj și furt de date.
Țările din America Latină cele mai afectate de programe malware
Dacă ne concentrăm pe clasamentul regional, datele telemetrice plasează Peru pe primul loc, urmat de Mexic, Argentina, Brazilia și Columbia . Fiecare dintre aceste țări are propriile particularități, dar toate împărtășesc presiunea campaniilor care se repetă, se modifică și se răspândesc în întreaga regiune.
Nu este vorba doar despre câte atacuri este supusă fiecărei țări, ci și despre natura amenințărilor, sectoarele cele mai afectate și rolul pe care îl joacă fiecare teritoriu în cadrul lanțurilor de atac . În unele cazuri, cum ar fi Peru, campaniile par chiar să aibă originea la nivel local și apoi să se răspândească în alte țări din America Latină.
Analiza evidențiază, de asemenea, că țintele principale ale infractorilor cibernetici sunt entitățile publice, agențiile guvernamentale, sectorul medical, infrastructura critică și organizațiile cu volume mari de date sensibile . Aceste potențiale victime nu dispun întotdeauna de resurse suficiente pentru a menține un nivel robust de securitate cibernetică, ceea ce sporește succesul campaniilor.
Următoarele detaliază activitatea programelor malware din fiecare dintre aceste cinci țări, inclusiv cele mai frecvent detectate tipuri de amenințări și câteva incidente recente importante care ajută la înțelegerea nivelului real de risc.
Peru: punct de plecare pentru campanii regionale
Peru este lider în regiune în ceea ce privește detectarea de programe malware, cu o creștere susținută a volumului de programe malware observate în ultimul an . În numeroase cazuri, campaniile identificate în Peru au servit drept rampă de lansare pentru atacuri care s-au răspândit ulterior în alte țări din America Latină.
Unul dintre cele mai îngrijorătoare aspecte ale cazului peruan este tipul de victimă: o parte semnificativă a atacurilor vizează agenții guvernamentale și sectoare considerate critice , inclusiv entități legate de securitate, servicii esențiale și administrație publică. Acest lucru indică faptul că, dincolo de câștigurile financiare, unele grupuri caută informații strategice și capacitatea de a exercita presiuni.
Printre cele mai frecvent detectate amenințări în Peru se numără Backdoor.Win32/Tofsee, Trojan.PDF/Phishing.D.Gen și Trojan.Win32/TrojanDownloader.Rugmi.AOS . Tofsee acționează ca un backdoor, permițând controlul de la distanță al sistemelor compromise și, în multe cazuri, integrarea acestora în rețele de distribuție de spam sau malware. Variantele de phishing PDF exploatează documente aparent legitime pentru a păcăli utilizatorii să dezvăluie acreditări sau date personale.
Utilizarea intensivă a Rugmi ca instrument de descărcare în Peru este deosebit de revelatoare. Acest tip de componentă este instalată mai întâi, analizează mediul și descarcă următoarea fază a atacului doar dacă contextul este considerat „interesant” de către atacator . Acest lucru permite infractorilor cibernetici să filtreze țintele, să își optimizeze eforturile și să reducă riscul de a ridica prematur suspiciuni.
Incidentul cunoscut sub numele de „Scurgerile de informații Dirin” a devenit un exemplu clar al nivelului de vulnerabilitate al țării . În acest caz, infractorii cibernetici au obținut acces la Direcția de Informații a Poliției Naționale Peruviene, scurgând informații sensibile despre agenții sub acoperire și protocoalele de securitate utilizate în jurul președintelui. Aceste tipuri de scurgeri de informații nu numai că dăunează imaginii instituției, dar pot avea și consecințe directe asupra siguranței fizice a celor implicați.
Mexic: Phishing-ul și ransomware-ul, o combinație explozivă
Mexicul ocupă locul al doilea pe harta activității malware din America Latină și s-a impus ca o țintă deosebit de atractivă și profitabilă pentru infractorii cibernetici . Dimensiunea, greutatea economică și populația online extinsă înseamnă că orice campanie de succes are un impact foarte larg.
În Mexic, campaniile de phishing și ransomware bazate pe tactici de inginerie socială sunt deosebit de răspândite . Atacatorii folosesc e-mailuri, mesaje și site-uri web false concepute meticulos pentru a păcăli utilizatorii să furnizeze acreditări, să descarce fișiere infectate sau să activeze macrocomenzi rău intenționate.
Printre cele mai frecvent detectate amenințări se numără Trojan.Win32/TrojanDownloader.Rugmi.AOS, Trojan.PDF/Phishing.A.Gen și Trojan.Win32/Spy.Banker.AEHQ . Rugmi apare din nou ca un program de descărcare care deschide calea pentru atacuri mai complexe. Variantele de phishing PDF sunt folosite pentru a răspândi link-uri rău intenționate sau formulare frauduloase, în timp ce troienii bancari precum Spy.Banker sunt concepuți pentru a fura acreditări financiare și credențiale de conectare pentru serviciile bancare online.
În ultimele luni ale anului 2025, Mexicul a suferit un incident deosebit de frapant: grupul APT Tekir a compromis sistemul unui birou guvernamental, extrăgând peste 250 GB de date într-un atac ransomware . Acest caz reflectă combinația de extorcare financiară și furt de date, o strategie comună în campaniile moderne care vizează maximizarea presiunii asupra victimei.
Toate acestea confirmă faptul că, în Mexic, punctul de intrare preferat pentru multe atacuri rămâne înșelarea utilizatorilor . Fără o cultură solidă a securității cibernetice și controale tehnice adecvate, phishing-ul și ransomware-ul vor continua să-și găsească victime cu relativă ușurință.
Argentina: Presiune asupra sectorului public și a sănătății
Argentina ocupă locul trei, cu o creștere constantă a numărului de atacuri înregistrate în ultima perioadă analizată . Deși activitățile rău intenționate afectează toate tipurile de organizații, sectorul medical și cel public suportă cel mai mult impactul.
În acest context, cele mai frecvente amenințări detectate în țară includ Trojan.Win32/TrojanDownloader.Rugmi.AOS, Trojan.Win32/Exploit.CVE-2012-0143.A și Trojan.HTML/Phishing.Agent.AUW . Prezența Rugmi evidențiază încă o dată această strategie de atac etapizată, care se repetă în mare parte a Americii Latine.
Deosebit de frapantă este utilizarea Exploit.CVE-2012-0143, o vulnerabilitate veche asociată cu gestionarea deficitară a memoriei în instrumentele suitei Microsoft Office . Deși este documentată de peste paisprezece ani, aceasta rămâne activă în numeroase medii corporative care nu au aplicat patch-urile necesare sau continuă să utilizeze versiuni învechite ale software-ului.
Această exploatare a vulnerabilităților mai vechi indică faptul că infractorii cibernetici nu au întotdeauna nevoie de tehnici de ultimă generație: ei trebuie pur și simplu să localizeze organizațiile care întrețin sisteme învechite și nu și-au consolidat politicile de actualizare . Datele de telemetrie arată că aceasta rămâne o situație foarte frecventă în regiune.
Un exemplu excelent în Argentina a fost atacul împotriva Fabricaciones Militares Sociedad del Estado, asociată cu grupul ransomware MONTI . În acest incident, au fost furați aproximativ 300 GB de informații, inclusiv proiecte militare strategice ale armatei argentiniene. Dincolo de impactul economic și de perturbarea operațiunilor, expunerea documentației sensibile reprezintă un risc clar pentru securitatea națională.
Brazilia: un punct fierbinte pentru troienii bancari și fraudele financiare
Brazilia ocupă locul patru în ceea ce privește volumul de detecție, dar se remarcă prin tipul de amenințare predominant: troianul bancar rămâne principalul vinovat . Acest tip de malware s-a adaptat mediului financiar brazilian de ani de zile, profitând de adoptarea ridicată a serviciilor bancare online și a aplicațiilor mobile.
Printre cele mai frecvente amenințări din țară se numără Trojan.JS/Spy.Banker.KN, Trojan.Win32/TrojanDownloader.Rugmi.AOS și Trojan.HTML/Phishing.Agent.BGB . Spy.Banker se concentrează pe interceptarea acreditărilor, captarea informațiilor din formularele bancare și, în unele cazuri, modificarea tranzacțiilor în timp real, fără știrea utilizatorului.
Combinarea troienilor bancari cu campanii de phishing HTML permite atacatorilor să deghizeze site-uri web false de servicii bancare online sau gateway-uri de plată . Odată ce un utilizator își introduce datele pe aceste pagini frauduloase, infractorii pot transfera bani, pot solicita împrumuturi sau pot vinde aceste informații pe piețele negre.
Unul dintre cele mai mediatizate incidente din Brazilia a fost cazul C&M Software, în care un angajat și-a vândut acreditările unor infractori . Datorită acestui acces intern, atacatorii au reușit să fure peste 800 de milioane de reali brazilieni. Incidentul a evidențiat impactul erorilor umane și importanța protejării acreditărilor cu controale suplimentare, cum ar fi autentificarea multi-factor și monitorizarea comportamentului anormal.
Experiența braziliană arată că, în mediile financiare extrem de digitalizate, troienii bancari, phishing-ul și ingineria socială creează o furtună perfectă pentru generarea de profituri ilicite substanțiale. Protecția în acest domeniu necesită atât tehnologii defensive, cât și campanii continue de conștientizare pentru utilizatori și angajați.
Columbia: Exploatarea vulnerabilităților și atacuri asupra organizațiilor
Columbia încheie lista celor cinci țări cu cea mai mare activitate malware, dar o face cu un număr de atacuri per organizație în creștere rapidă . În acest mediu, campaniile se concentrează pe combinarea programelor malware tradiționale cu exploatarea vulnerabilităților deja documentate.
Cele mai frecvente amenințări detectate în țară includ Trojan.Win32/TrojanDownloader.Rugmi.AOS, Trojan.PDF/Phishing.D.Gen și Trojan.Win64/Kryptik.EDF . Rugmi funcționează din nou ca o poartă de acces în mai multe etape, în timp ce variantele de phishing PDF servesc la deschiderea drumului prin înșelăciuni care vizează angajații și utilizatorii serviciilor corporative.
Trojanul Kryptik, pe de altă parte, se caracterizează prin utilizarea tehnicilor de ofuscare și ambalare menite să împiedice analiza și să împiedice soluțiile de securitate să îl identifice cu ușurință . Acest lucru obligă organizațiile să aibă instrumente capabile să detecteze comportamente suspecte dincolo de simple semnături de malware.
În Columbia, a fost documentat și un incident semnificativ care a implicat grupul APT Blind Eagle și o companie din sectorul aviației . În acest atac, infractorii au exploatat, printre alte resurse, vulnerabilitatea CVE-2024-43451 pentru a compromite mediul corporativ. Utilizarea vulnerabilităților cunoscute în software neactualizat a devenit o tactică recurentă pentru obținerea accesului inițial.
Situația din Columbia arată că simpla protejare a stației de lucru a utilizatorului final nu este suficientă: este esențial să se gestioneze corect ciclul de viață al patch-urilor, vulnerabilităților și configurațiilor . Organizațiile care neglijează aceste aspecte devin ținte ușoare pentru campaniile automate de exploatare.
Caracteristicile cheie ale principalelor familii de malware detectate
Analizarea datelor din aceste cinci țări la un loc dezvăluie mai multe familii recurente de programe malware cu funcții foarte specifice în cadrul lanțurilor de atac . Înțelegerea a ceea ce face fiecare dintre ele și a motivelor pentru care este utilizată atât de mult ajută la prioritizarea măsurilor de apărare.
Primul pe listă este Rugmi, identificat prin detecții ca Trojan.Win32/TrojanDownloader.Rugmi.AOS, care funcționează în principal ca un program de descărcare . Rolul său este de a se infiltra în sistem, de a evalua configurația mediului (sistem de operare, software instalat, permisiuni, prezența soluțiilor de securitate etc.) și, pe baza acestor informații, de a decide dacă să descarce sau nu o a doua sarcină utilă rău intenționată, mai grea, cum ar fi ransomware, troieni bancari sau spyware.
Această abordare eșalonată oferă mai multe avantaje atacatorilor. Prin faptul că nu implementează imediat „malware-ul final”, aceștia își reduc amprenta inițială, complică analiza criminalistică și împiedică răspunsul timpuriu . În plus, le permite să concentreze resursele asupra unor ținte cu adevărat valoroase, eliminând sistemele mai puțin utile sau puternic protejate.
Un alt grup important este format din diferitele variante de phishing generic detectate ca Trojan.PDF/Phishing și Trojan.HTML/Phishing . Deși literele suplimentare de la sfârșitul numelui identifică variante specifice, multe dintre ele sunt considerate generice, deoarece nu este posibil să le legați în mod clar de campanii extrem de structurate sau de grupuri specifice.
În esență, aceste amenințări constau în documente PDF sau pagini HTML aparent legitime care conțin linkuri rău intenționate, formulare false sau conținut conceput pentru a înșela utilizatorul . Deși nu sunt cel mai sofisticat tip de atac, ele rămân un punct de intrare major pentru operațiuni mai complexe tocmai pentru că exploatează veriga slabă: încrederea utilizatorului.
Un al treilea element demn de remarcat este persistența unor vulnerabilități mai vechi, precum CVE-2012-0143, încă utilizate eficient în țări precum Argentina . Această vulnerabilitate profită de gestionarea necorespunzătoare a memoriei în componentele Office, permițând executarea arbitrară de cod pe sisteme care nu au fost încă actualizate. Faptul că o vulnerabilitate veche de peste un deceniu continuă să fie atât de răspândită este o indicație clară a lipsei de actualizări în multe organizații.
În cele din urmă, prezența puternică a troienilor bancari în țări precum Brazilia și Mexic nu poate fi ignorată , deoarece aceștia vizează direct furtul de acreditări și fonduri . Aceste coduri malițioase combină de obicei tehnici de keylogging, manipularea formularelor web și uzurparea identității interfețelor bancare pentru a intercepta date sensibile fără știrea utilizatorului.
Strategii și recomandări de apărare pentru organizațiile din regiune
Imaginea pictată de această hartă a activității programelor malware din America Latină poate părea descurajantă, dar tiparele comune ale atacurilor deschid, de asemenea, ușa pentru aplicarea unor strategii de apărare similare în diferite țări și sectoare . Nu este vorba despre reinventarea roții în fiecare organizație, ci mai degrabă despre adoptarea celor mai bune practici dovedite și adaptarea lor la contextul specific.
Unul dintre cele mai critice aspecte este gestionarea actualizărilor și a patch-urilor de securitate . Utilizarea continuă a vulnerabilităților vechi demonstrează că multe incidente ar fi putut fi evitate pur și simplu prin menținerea la zi a sistemelor de operare, a firmware-ului și a aplicațiilor. Atunci când un sistem nu poate fi actualizat din motive operaționale sau de compatibilitate, ar trebui implementate controale compensatorii, cum ar fi segmentarea rețelei, restricțiile de acces și monitorizarea îmbunătățită.
O altă recomandare cheie este protejarea tuturor gazdelor din infrastructură, nu doar a celor mai vizibile . Stațiile de lucru, serverele, terminalele, dispozitivele de rețea și chiar echipamentele aparent secundare pot fi punctul de intrare pentru escaladarea privilegiilor sau pentru deplasarea laterală în cadrul rețelei. Dispunerea de soluții de securitate fiabile, bine configurate și actualizate pe toate nodurile reduce semnificativ suprafața de atac.
De asemenea, merită să ne amintim că soluțiile de securitate în sine pot deveni ținte . Dacă un antivirus, un EDR sau un instrument de monitorizare este configurat greșit sau învechit, atacatorii pot încerca să îl dezactiveze, să abuzeze de privilegiile sale ridicate sau să exploateze vulnerabilitățile interne. Prin urmare, pe lângă implementarea acestor instrumente, este esențial să le gestionați profesional și să le revizuiți periodic.
Utilizarea informațiilor externe despre amenințări este un alt element cheie pe care, până de curând, multe organizații îl considerau inaccesibil . Ani de zile, a fost văzută ca ceva rezervat companiilor cu bugete mari și echipe extrem de specializate, dar peisajul se schimbă: astăzi, există numeroase surse publice, gratuite, de înaltă calitate (index de fluxuri compromise, rapoarte tehnice, liste de IP-uri malițioase etc.) care pot fi integrate în procesele de apărare.
Cu o colectare adecvată de informații, chiar și organizațiile mici pot detecta tendințe, pot bloca infrastructurile de atac cunoscute și pot anticipa anumite mișcări ale infractorilor cibernetici . Combinate cu telemetria internă a companiei, aceste informații ajută la construirea unei imagini mai clare asupra riscurilor și la o mai bună prioritizare a eforturilor.
Pe lângă aspectele tehnice, instruirea și conștientizarea în domeniul securității cibernetice rămân un pilon esențial.
Aceste hărți și tablouri de bord sunt utilizate atât pentru a consolida o cultură a securității în cadrul companiilor și instituțiilor, cât și pentru a genera interes în sectorul securității cibernetice . Ele evidențiază numărul de atacuri, metodele cele mai frecvent utilizate, vulnerabilitățile cele mai exploatate și țările sau sectoarele cele mai afectate, contribuind la o abordare mai puțin abstractă a problemei.
Pe baza acestei conștientizări, organizațiile și utilizatorii finali pot începe să adopte măsuri de bază, dar foarte eficiente: verificați cu atenție e-mailurile și linkurile înainte de a da clic, utilizați parole puternice și manageri de parole, activați autentificarea multi-factor, limitați permisiunile inutile și raportați orice incidente suspectate.
Peisajul actual al criminalității cibernetice din America Latină dezvăluie o regiune aflată sub presiune constantă din partea unor campanii din ce în ce mai coordonate care reutilizează instrumente precum Rugmi, phishing-ul generic și troienii bancari în diverse țări. Combinația dintre infrastructura învechită, sectoarele critice cu resurse limitate și o amprentă digitală vastă a făcut din Peru, Mexic, Argentina, Brazilia și Columbia ținte prioritare . Cu toate acestea, asemănările dintre metodele de atac indică, de asemenea, că este posibil să se consolideze apărarea în mod colectiv prin partajarea informațiilor, standardizarea celor mai bune practici și angajamentul real față de actualizări, protecție completă a tuturor dispozitivelor și instruire continuă pentru persoanele care, în cele din urmă, rămân veriga cheie în orice strategie de securitate cibernetică.
