Grandoreiro después del operativo de 2024: evidencia de tres fabricantes

Las detenciones de administradores y la desaparición de una familia de malware son hechos distintos. El caso Grandoreiro permite examinar esa diferencia con un operativo de enero de 2024 y publicaciones posteriores de tres fabricantes. Esta nota sintetiza esos documentos: no es un análisis propio de muestras ni una confirmación de actividad en la fecha en que se lee.

Qué incluye el frente Windows / PoS

El corte del 17 de septiembre de 2026 usado en este artículo reúne 24 familias de Windows y, en casos puntuales, PoS/ATM. Incluye Grandoreiro, Mekotio (Melcoz), Casbaneiro (Metamorfo), Guildma (Astaroth), Javali (Ousaban), Mispadu (URSA) y Prilex. Se preservan los alias del dataset para relacionar publicaciones que emplean nombres diferentes, no para fusionar operaciones automáticamente.

Blind Eagle (APT-C-36) aparece por las cargas que utiliza, pero es un grupo de amenazas, no una familia. Esa distinción debe acompañar cualquier lectura del frente: una categoría editorial no convierte en equivalentes a todos sus registros.

La actualización del 29 de septiembre registra 28 de 67 familias en el frente Windows / PoS. No sustituye el corte de 24 usado arriba. Para interpretar ambos, véase la cobertura por país y sus límites documentales.

Tetrade no demuestra un operador común

El informe de Kaspersky del 14 de julio de 2020 agrupa bajo Tetrade a Guildma, Javali, Melcoz y Grandoreiro. Describe familias diferentes, técnicas compartidas y un ecosistema con afiliados. Para Grandoreiro señala un modelo de malware como servicio con varios operadores.

La lectura de CTI LATAM es que Tetrade ayuda a ordenar la literatura histórica; el nombre por sí solo no prueba que dos incidentes compartan responsables. La semejanza de señuelos o técnicas tampoco basta para unirlos.

Qué informó INTERPOL sobre las detenciones

El comunicado del 18 de marzo de 2024 recoge cinco administradores detenidos en Brasil en enero. Cita la cooperación de Trend Micro, Kaspersky, Group-IB y Scitum. Estima más de 3,5 millones de euros defraudados y atribuye a CaixaBank más de 110 millones en intentos fallidos potenciales.

Las dos cifras no son intercambiables: los intentos que no prosperaron no deben sumarse al fraude consumado. El comunicado documenta una acción contra una operación, no certifica la erradicación de todas las variantes.

Qué se documentó después del operativo

• Kaspersky, 22/10/2024: describe operadores restantes y nuevas versiones; registra 1.700 bancos, 276 billeteras cripto y 45 países o territorios en los objetivos. En su telemetría de enero–octubre de 2024 destacan México, Brasil, España y Argentina. Una entidad en la configuración no prueba que haya sido atacada.
• IBM X-Force: documenta campañas desde marzo de 2024, incluida suplantación institucional en México, Argentina y Sudáfrica. Es otro conjunto de campañas observadas, no una continuación numérica de la telemetría de Kaspersky.
• ESET, 25/06/2025: analiza correos que suplantan a la AFIP para entregar Grandoreiro mediante un ZIP con VBS. La publicación también menciona oleadas de 2025 en España, Argentina y México.

La conclusión está acotada a esa cronología: hubo actividad documentada después de las detenciones. No se deduce de estos informes que los mismos operadores mantengan hoy la misma infraestructura ni que todos los objetivos listados fueran víctimas.

Cómo llevar esta lectura al SOC

Como recomendación analítica, conviene relacionar el señuelo de correo, el acceso web y la ejecución en el equipo dentro de un mismo incidente investigado. El caso de ESET aporta un ejemplo de cadena; no debe imponerse como patrón universal para todas las variantes.

• Registrar familia, alias, fuente y período antes de comparar alertas. Un nombre compartido no resuelve por sí solo la atribución.
• Separar configuración de objetivos, detecciones del proveedor y pérdidas del operativo. Responden a preguntas y unidades diferentes.
• Antes de unir incidentes bajo Tetrade, pedir evidencia específica de código, infraestructura o señuelos. Una comparación editorial no es una relación operacional demostrada.

Nota de versión: las cifras de este análisis corresponden al corte del dataset vigente al momento de publicación; el Atlas se actualiza de forma continua.