Grandoreiro tauchte erstmals 2016 auf. Der Banking-Trojaner wurde in Delphi geschrieben, mutmaßlich von portugiesischsprachigen Malware-Entwicklern aus Brasilien. Zunächst richtete sich die Schadsoftware gegen Bankkunden in Brasilien, später weitete sie sich auf weitere Länder in Lateinamerika und andere Regionen der Welt aus.

Im Jahr 2024 stellten IBM-Forscher, die Grandoreiro neben mehreren anderen Sicherheitsanbietern beobachten, Angriffe auf Kunden von mehr als 1.500 Banken in über 60 Ländern in Süd- und Mittelamerika, Europa, Afrika und der indopazifischen Region fest. IBM kam damals zu dem Schluss, dass Grandoreiro wahrscheinlich als Malware-as-a-Service betrieben wurde, was eine vollständige Eindämmung erschweren könnte. Später bezifferte Kaspersky die Zahl der ins Visier genommenen Banken auf 1.700 in 45 Ländern und schätzte den Anteil von Grandoreiro und seinen Varianten auf rund 5 Prozent aller Banking-Trojaner-Angriffe im Jahr 2024.

Die Malware dient vor allem dazu, Bankzugangsdaten und andere Finanzinformationen zu stehlen. Zu ihren Fähigkeiten zählen Tastatureingaben mitzuschneiden, Bildschirminhalte zu teilen und infizierte Geräte fernzusteuern. Strafverfolgungsbehörden in Brasilien und Spanien hatten die Operationen von Grandoreiro im Jahr 2024 mit Unterstützung von Interpol gestört und fünf Administratoren festgenommen. Seitdem ist die Aktivität deutlich zurückgegangen, ganz eingestellt wurde sie aber offenbar nicht.

In der aktuellen Kampagne wird Grandoreiro laut Acronis über ein als Rechnung getarntes ZIP-Archiv verbreitet, wahrscheinlich per Spam-E-Mail. Das Archiv enthält scheinbar legitime PDF- und XML-Dokumente als Täuschkörper, damit die Datei für Antivirenprogramme und andere Schutzwerkzeuge harmlos wirkt. Zusätzlich liegt eine Kopie von Duplicate Files Finder bei, einer legitimen Anwendung zum Auffinden und Entfernen doppelter Dateien, die von den Angreifern für den Schadcode missbraucht wird.

Der Angriff nutzt DLL-Sideloading. Dabei wird eine legitime Anwendung dazu gebracht, eine bösartige dynamische Bibliothek zu laden. Nach Angaben von Acronis wurde Duplicate Files Finder so verändert, dass beim Start zugleich Schadcode ausgeführt wird, der Grandoreiro startet. Die schädliche Komponente prüft zunächst den Rechner des Opfers auf Sicherheitskontrollen und Hinweise darauf, dass sie in einer Sicherheits-Sandbox läuft. Erst wenn diese Prüfungen bestanden sind, nimmt die Malware Kontakt zum Command-and-Control-Server der Angreifer auf und lädt die eigentliche Grandoreiro-Nutzlast herunter.

Bemerkenswert an der aktuellen Loader-Version sind laut Acronis vor allem die umfangreichen Funktionen gegen Analyse und forensische Untersuchung. Vor der Kontaktaufnahme mit der C2-Infrastruktur prüft der Loader etwa die Laufzeit des Systems sowie eine bestimmte Kombination installierter Anwendungen wie Google Chrome, Firefox, CCleaner und Firefox Edge, um eine Sandbox zu erkennen. Zusätzlich kontrolliert er verfügbaren Arbeitsspeicher und Prozessoren, freien Festplattenspeicher, Bildschirmauflösung, jüngste Benutzeraktivität sowie das Vorhandensein von fast 50 Sicherheits-, Debugging-, Reverse-Engineering- und Netzwerküberwachungswerkzeugen.

Nach Einschätzung von Acronis deutet die Entscheidung für einen „stark geschützten Loader“ zudem auf einen neuen, bewussten Fokus hin, den Erstzugang von den langfristigen Fähigkeiten der Malware zu trennen. Der Sicherheitsanbieter hält fest, dass die mit Grandoreiro verbundene Gesamtaktivität zwar unter dem früheren Höchststand liegt, die Malware aber weiter aktiv ist und ihre Werkzeuge sowie Infrastruktur fortlaufend anpasst.