miércoles, octubre 08, 2014

Malware para cajeros bancarios: Right to the source

Durante años los criminales focalizados en robar dinero a la banca se han estado centrando en robar las credenciales bancarias, hacer esquemas de infección de los terminales móviles para robar el OTP que valida la operación en el móvil, preparar esquemas de ataque de man in the browser cambiando las cuentas bancarias, haciendo carding en los cajeros para robar los números de las tarjetas de crédito, montando cajeros falsos como el que se montón en la DEFCON o robándolas de las webs donde los usuarios las habían introducido. Esquemas de fraude online pensados en robar el dinero al cliente del banco en lugar de directamente al banco.

Figura 1: El camino para robar el banco ya no es la ventanilla

Pero.. ¿por qué no robarla directamente al banco? Hace tiempo el desaparecido Barnaby Jack mostró que era posible, jugando con el cajero, acceder a determinados modos de operación para acceder al dinero que tenía un cajero, así que parece que el camino estaba claro. Aquella charla fue de lo más sonado del momento. Si controlas el sistema operativo del cajero automático, controlas la caja. 


Figura 2: Barnaby Jack en Black Hat USA hackeando un cajero ATM

Eso debió ser lo que pensaron los creadores del malware que ha sido descubierto por Kaspersky, llamado Tyupkin Trojan, instalado en múltiples cajeros automáticos por todo el mundo. Según su informe, han aparecido 31 copias, la mayoría de ellas en Rusia, por lo que parece que el origen del mismo es de allí.

Figura 3: Países en los que se ha localizado Tyupkin Trojan

Los atacantes fueron capaces de tener acceso físico al arranque del sistema operativo de los cajeros, que corre Windows Embedded Edition y correr un malware que desactiva el antivirus del equipo. A partir de ese momento se queda residente y cuando se introduce un determinado código de acceso al mismo, toma el control de la pantalla mostrando un menú de gestión del cajero, tal y como puede verse en el siguiente vídeo.


Figura 4: Vídeo demostración de Tyupkin Trojan

Lo siguiente es gestionar operaciones directamente con el cajero, para poder sacar dinero - hasta un total de 40 billetes por transacción -, desactivar la red para que no molesten los equipos de seguridad mientras están realizando la operación de vaciado del cajero, o forzar un borrado y autodestrucción del malware instalado en la máquina. Al final, un paso más allá en la en el robo de dinero, en lugar de quitárselo a las víctimas, directamente quitárselo a los cajeros automáticos.

Saludos Malignos!

5 comentarios:

Unknown dijo...
Este comentario ha sido eliminado por el autor.
Andreu dijo...

Al igual que el cliente no pierde nada cuando roban 'al estilo clásico' aquí tampoco.
No roban a una persona en concreto (cosa que sí pasa cuando te clonan la tarjeta), sino directamente al banco.

hbt dijo...

Muy interesante. ¿Conoces el caso que expusieron en el CCC? Puse un enlace a la conferencia en este artículo:

http://habican.blogspot.com.es/2014/04/asalto-un-banco-electronico-los-cajeros.html

Gracias por el blog me gusta mucho leerlo.

Pablo, normalmente los bancos se lo tienen apalabrado con los seguros para que el cliente "ni se entere". La pregunta es hasta cuando podrán aguantar.

Lady Jennifer Samantha Susan Natacha Espinoza de los Campos dijo...

POR FABOR XEMA NESESITO HALLUDA JAQER PARA ARREVATIARLE LA KEUNTA D FEISBUK HA MI NOBIO XFAVOR MANDEMLA A MI HEMAIL OK?? GRASIAS DE HANTMNO!!!!!11

Anónimo dijo...

Por favor Chema, he visto esta pelicula y me interesaria tu enfoque sobre ella. Es una pelicula muy interesante sobre un gran programador. He sentido muchas cosas con ella, he estado a punto de llorar, pero te da tanta rabia que no puedes. Donde esta un gobierno con tanto miedo como USA pasan estas cosas. Pongo el comentario aqui porque las conjeturas que saco son las mismas que las de Barnaby Jack. LA PELI SE LLAMA "The Internet's Own Boy: The Story of Aaron Swartz"

Y aqui esta en español: https://www.youtube.com/watch?v=vXr-2hwTk58&feature=youtu.be

Entrada destacada

10 maneras de sacarle el jugo a tu cuenta de @MyPublicInbox si eres un Perfil Público

Cuando doy una charla a algún amigo, conocido, o a un grupo de personas que quieren conocer MyPublicInbox , siempre se acaban sorprendiendo ...

Entradas populares