Malware para cajeros bancarios: Right to the source
Durante años los criminales focalizados en robar dinero a la banca se han estado centrando en robar las credenciales bancarias, hacer esquemas de infección de los terminales móviles para robar el OTP que valida la operación en el móvil, preparar esquemas de ataque de man in the browser cambiando las cuentas bancarias, haciendo carding en los cajeros para robar los números de las tarjetas de crédito, montando cajeros falsos como el que se montón en la DEFCON o robándolas de las webs donde los usuarios las habían introducido. Esquemas de fraude online pensados en robar el dinero al cliente del banco en lugar de directamente al banco.
Pero.. ¿por qué no robarla directamente al banco? Hace tiempo el desaparecido Barnaby Jack mostró que era posible, jugando con el cajero, acceder a determinados modos de operación para acceder al dinero que tenía un cajero, así que parece que el camino estaba claro. Aquella charla fue de lo más sonado del momento. Si controlas el sistema operativo del cajero automático, controlas la caja.
Eso debió ser lo que pensaron los creadores del malware que ha sido descubierto por Kaspersky, llamado Tyupkin Trojan, instalado en múltiples cajeros automáticos por todo el mundo. Según su informe, han aparecido 31 copias, la mayoría de ellas en Rusia, por lo que parece que el origen del mismo es de allí.
Los atacantes fueron capaces de tener acceso físico al arranque del sistema operativo de los cajeros, que corre Windows Embedded Edition y correr un malware que desactiva el antivirus del equipo. A partir de ese momento se queda residente y cuando se introduce un determinado código de acceso al mismo, toma el control de la pantalla mostrando un menú de gestión del cajero, tal y como puede verse en el siguiente vídeo.
Lo siguiente es gestionar operaciones directamente con el cajero, para poder sacar dinero - hasta un total de 40 billetes por transacción -, desactivar la red para que no molesten los equipos de seguridad mientras están realizando la operación de vaciado del cajero, o forzar un borrado y autodestrucción del malware instalado en la máquina. Al final, un paso más allá en la en el robo de dinero, en lugar de quitárselo a las víctimas, directamente quitárselo a los cajeros automáticos.
Saludos Malignos! @ http://www.elladodelmal.com/2014/10/malware-para-cajeros-bancarios-right-to.html
Tyupkin, malware para robar cajeros automáticos
Los laboratorios de Kaspersky han detectado un nuevo malware, bautizado como Backdoor.MSIL.Tyupkin, conocido simplemente como Tyupkin, que ha permitido el robo de millones de dólares de cajeros automáticos.
El ataque se produce en dos fases, en primer lugar los atacantes deben conseguir acceso físico al cajero automático, que debe funcionar con un sistema basado en Windows 32 bits. Lo que no queda claro de qué forma se consigue esto, ya que deben introducir un CD de arranque para poder instalar el malware Tyupkin y tras reiniciar el sistema el cajero ya estará infectado y bajo el control del atacante.
El malware se ha detectado en aproximadamente unos 50 cajeros automáticos de Europa del Este, aunque todo indica que se ha podido extender a otros países de Europa, América y Asia.
Para dificultar la detección el malware solo se activa en unas horas concretas de la noche del domingo al lunes. Es ahí cuando los atacantes pueden acceder al dinero que se encuentra en los cajeros y vaciarlos literalmente.
Según Kaspersky:"En cada sesión del expolio, se genera una única clave basada en números aleatorios, lo que asegura que ningún viandante pudiera beneficiarse accidentalmente del fraude. El ejecutante recibe instrucciones por teléfono de otro miembro de la red que conoce el algoritmo y es capaz de generar una clave de sesión. Este segundo código de control evita que las mulas que recogen el dinero pudieran intentar hacer la operación por libre."
Kaspersky confirma que las muestras que han analizado fueron compiladas en marzo de este año, aunque todo indica que el malware ha evolucionado con el tiempo. Se han detectado ya hasta cuatro variantes, hasta la versión d que implementa técnicas anti emulación y depuración, y también desactiva McAfee Solidcore.
Este malware representa una evolución en los ataques a cajeros automáticos. En los últimos años eran frecuentes el uso de skimmers, lectores de tarjetas, cámaras o teclados destinados a obtener la información sensible de las tarjetas de crédito de los clientes (banda magnética y PIN), para crear duplicados y robar al usuario
Pero Tyupkin da un paso más lejos y busca debilidades en los propios cajeros y en las entidades para robar no al usuario de una tarjeta sino a la propia entidad bancaria. No cabe duda, de que en caso de éxito el botín obtenido puede ser mucho mayor que el obtenido al robar un determinado número de tarjetas.
No es la primera vez que un malware se introduce en cajeros y permite la extracción de dinero. A principios de año aparecía Ploutus, con un funcionamiento muy similar a este nuevo malware. También se introducía en un CD de arranque en sistemas Windows, sin embargo la extracción de dinero debía hacerse a través de un mensaje SMS con un terminal móvil conectado al cajero, lo que evidentemente dificultaba sumamente el ataque.
La principal recomendación para los bancos para por revisar la seguridad física de sus cajeros automáticos. Teniendo en cuenta que es necesario acceso a la unidad de CD y reiniciar el sistema, resulta sorprendente como alguien ajeno a la entidad puede tener tal acceso al sistema del cajero.
Más información:
Tyupkin: Manipulating ATM Machines with Malware
http://securelist.com/blog/research/66988/tyupkin-manipulating-atm-machines-with-malware/
Malware infecta cajeros automáticos y roba millones de dólares
https://blog.kaspersky.es/malware-infecta-cajeros-automaticos-y-roba-millones-de-dolares/4276/
