Troyanos Bancarios Al Descubierto
Una síntesis del informe de trimestral de Panda en materia de troyanos bancarios nos ofrece interesantes informaciones sobre como identificarlos y su forma de operar cuando aterrizan en nuestro sistema.
Sergio Méndez Galindo
27 de June · 1389 palabras.
27 de June · 1389 palabras.
x
🕘 Resumen
El malware más peligroso para cualquier usuario son los troyanos bancarios, ya que pueden obtener datos bancarios de sus víctimas y causar graves daños económicos.
La ingeniería social es una técnica común para propagar los troyanos, por medio de mensajes de terceros que contienen enlaces a webs desconocidas. Además, estos programas pueden personalizarse según los objetivos de los delincuentes y su detección es relativamente sencilla.
Los troyanos bancarios brasileños (Banbra) tienen como objetivo robar las contraseñas de bancos brasileños y portugueses, aunque también hay variantes españolas.
Muchas versiones se construyen mediante kits generadores, mientras que los troyanos bancarios rusos (Cimuz, Goldun) están creados mediante herramientas comunes de creación, lo que da lugar a un montón de variantes.
Los delincuentes pueden comprar programas o kits en el mercado negro de la red para obtener estas herramientas. En conclusión, es crucial que los usuarios tomen medidas para proteger sus datos bancarios y ser cautelosos con los mensajes de terceros y los enlaces desconocidos en internet.
La ingeniería social toma fuerza como vía de transmisión, con esos mensajes de terceros que contienen enlaces a webs desconocidas. A veces ni siquiera se requiere intervención por parte del usuario, ya que se aprovechan de kits de exploit para entrar en su ordenador.
Una vez en nuestro equipo, el principal objetivo del troyano será obtener nuestros datos bancarios. Normalmente, estos programas se quedan residentes en memoria e inactivos hasta que el usuario accede al servicio de banca (de esta forma no se delatan innecesariamente) Los troyanos poseen una lista predefinida de entidades a las que atacar.
Los delincuentes obtienen este tipo de herramientas casi sin esfuerzo, existiendo un gran mercado negro en la red para compra-venta de este tipo de programas o kits. Programas que pueden personalizarse aún más.
PRINCIPALES FAMILIAS
1) Troyanos bancarios brasileños (Banbra)
Se usan principalmente para robar passwords de bancos brasileños y portugueses, aunque han dado pie a algunas versiones españolas. Suelen enviar la información obtenida a través de correo electrónico o por FTP.
Las versiones brasileñas están programadas en Delphi, mientras las españolas emplean Visual Basic. Estos troyanos se construyen mediante kits generadores, son construídos desde cero.
2) Troyanos bancarios rusos 1.0 (Cimuz, Goldun…)
Estas familias dan lugar a un montón de variantes, porque está creadas mediante herramientas comunes de creación. Sin embargo, las amenazas creadas con estos kits presentan muy pocas diferencias entre ellas, debido al poco desarrollo que han obtenido estos kits en los últimos años.
Por eso, al no haber evolucionado con el tiempo, no incorporan nuevas funciones y su detección es relativamente sencilla para un antivirus.
3) Troyanos bancarios rusos 2.0 (Sinowal, Torpig, Bankolimb)
Son las amenazas de este tipo más activas actualmente, por ello más peligrosas. Sufren cambios y actualizaciones constantes, por lo que su detección es costosa, además de que incorporan nuevas herramientas de fraude en cada nueva versión (nuevas entidades, vías, etc)
Su forma de funcionamiento es común. Un fichero de configuración contiene todas las entidades a monitorizar, que bien puede incluírse en el propio troyano, o estar alojado en un servidor controlado por el atacante. Esto implica que no deben ser modificados para atacar un nuevo banco, sino recibir la orden.
Además, utilizan nuevas formas de polimorfismo y ocultamiento, que los hacen difíciles de detectar y eliminar.
Como se puede observar en la siguiente gráfica, las familias más activas de troyanos bancarios son Sinowal, que representa un 46% del total de las familias diseñadas para robar datos bancarios, seguida de Banker con un 25% y Banbra con un 11%. El 8%
restante corresponde a las demás familias de troyanos bancarios:
MÉTODOS DE INFECCIÓN
La ingeniería social continúa como principal foco de expansión para este tipo de amenazas. Para conseguirlo, son distribuídos mediante mensajes de SPAM enviados a cualquier tipo de plataforma, que podemos dividir en 2 clases:
1. El Spam contiene archivos adjuntos: Normalmente se trata de documentos comprimidos en zip o rar, con un archivo ejecutable .exe. Pero complican la cosa más para que el usuario no sospeche:
Icono inofensivo: un icono relacionado con el tipo de archivo que pretende ser. Por ejemplo
Doble extensión: Normalmente, el archivo ejecutable tiene doble extensión, en primer lugar tiene la extensión del archivo por el que se hace pasar, por ejemplo en este caso que se trata de una imagen, la extensión sería jpg y después la extensión exe. Normalmente hay espacios libre entre la primera extensión y la segunda, para que el usuario no desconfíe.
Aunque no es imprescindible añadir una extensión inofensiva. SI el documento contiene un icono que parece inofensivo, puede pasar desapercibido para el usuario.
Habitualmente dicho archivo será un donwloader que el hacker empleará para descargar el troyano al sistema.
2. El spam enlaza con un sitio web fraudulento
Mensajes de correo electrónico que llevan un enlace a un sitio web. Es habitual el uso de videos como cebo. Dicho video solicitará al usuario la instalación de un plugin, codec o similar para poder visualizarlo.
Una dev en el sistema, el mencionado codec o actualización, el usuario puede ser redirigido a un sitio web en el que visualizará un video relacionado, para no levantar sospechas.
Un nuevo tipo de ataque ha empezado a ser usado recientemente: la infección de sitios web legales. Para ello se introduce en sus servidores una llamada hacia un servidor malicioso que se encargará de recopilar información del sistema, como la versión del sistema operativo, navegador o actualizaciones instaladas. De esta forma el delincuente sabrá si existe alguna brecha de seguridad aprovechable.
COMO ROBAN LA INFORMACIÓN
Existen varias formas para robar las contraseñas al usuario, desde la captura de datos mediante un Keylogger hasta técnicas más elaboradas como la captura de datos “al vuelo”.
El grado de éxito de un keylogger depende de cómo esté configurado y sobre todo de su capacidad de filtrado de información. Un keylogger que se limita a registrar todas las pulsaciones de teclado introducidas por el usuario generaría una gran cantidad de datos inservibles para los ciberdelincuentes.
Por eso es importante que el delincuente sepa filtrar mediante el programa aquella información que le resulte interesante, es decir, la información bancaria del individuo.
Siguiendo esta premisa, el hacker filtrará la información relevante en funcion de parámetros tales como el tipo de páginas que el usuario visite. Se monitorizará su navegación, de forma que cuando el usuario acceda a una página web de un banco, el keylogger empezará a registrar las pulsaciones de teclado.
Para recabar la información del usuario mediante su navegación se siguen diversas técnicas:
Registrarse como BHO (Browser Helper Object), que se trata de una funcionalidad de Internet Explorer que se ejecuta cuando se accede al navegador.
Búsqueda de título de ventanas. Para ello utiliza una función de la API denominada FindWindow, que le permite localizar las ventanas que tengan un determinado título. Así un ciberdelincuente podría realizar búsquedas de títulos de ventanas activas que contengan nombre de entidades bancarias.
Búsqueda de direcciones web en el navegador. El troyano cuenta con un listado de direcciones web pertenecientes a diferentes entidades bancarias. Cuando el usuario teclea en su navegador una dirección web que coincida con alguna de las del listado, el troyano se activa.
Una vez comprobado que el destino actual del usuario es una página de banca online, de procede a la captura de datos mediante diferentes métodos:
Captura de formularios: cuando el troyano detecta un formulario en alguna página web registra la información que el usuario introduzca en los formularios.
Keylogging: registro de las pulsaciones de teclado introducidas por el usuario en las páginas web.
Sitios web falsos: el troyano crea una página web falsa que imita al original. Cuando el usuario va a acceder a la página legítima de la entidad bancaria, el troyano ejecuta una aplicación que muestra la página web falsa en vez de la original.
Formularios falsos: esta técnica consiste que en vez de crear una página web falsa, lo que hace es superponer una ventana que contiene un formulario sobre el formulario real, para que el usuario rellene el formulario falso.
Campos extras en formularios: inyección de código HTML en los formularios de las páginas web para solicitar más información.
Pharming: Esta técnica consiste en modificar el sistema de resolución de nombres de dominio (DNS) para conducir al usuario a una página web falsa.
Ataques “man-in-the-middle”: los ciberdelincuentes hacen de intermediarios pudiendo leer, insertar y modificar mensajes entre el cliente y su banco sin que ninguna de las partes sea consciente de que la conexión entre ellas está comprometida.
Programas PC y software para acelerar el pc en nuestra web Mejor Antivirus
