Los
laboratorios de Kaspersky
han detectado un nuevo malware, bautizado como Backdoor.MSIL.Tyupkin,
conocido simplemente como Tyupkin,
que ha permitido el
robo de millones de dólares de cajeros automáticos.
El ataque se produce en dos
fases, en primer lugar los atacantes deben conseguir acceso físico al cajero
automático, que debe funcionar con un sistema basado en Windows 32 bits. Lo que
no queda claro de qué forma se consigue esto, ya que deben introducir un CD de
arranque para poder instalar el malware Tyupkin y tras reiniciar el sistema el
cajero ya estará infectado y bajo el control del atacante.
El malware se ha detectado en
aproximadamente unos 50 cajeros automáticos de Europa del Este, aunque todo indica
que se ha podido extender a otros países de Europa, América y Asia.
Para dificultar la detección el
malware solo se activa en unas horas concretas de la noche del domingo al
lunes. Es ahí cuando los atacantes pueden acceder al dinero que se encuentra en
los cajeros y vaciarlos literalmente.
Según Kaspersky:
"En cada sesión del expolio, se genera una única clave basada en números aleatorios, lo que asegura que ningún viandante pudiera beneficiarse accidentalmente del fraude. El ejecutante recibe instrucciones por teléfono de otro miembro de la red que conoce el algoritmo y es capaz de generar una clave de sesión. Este segundo código de control evita que las mulas que recogen el dinero pudieran intentar hacer la operación por libre."
Kaspersky confirma que las muestras que han
analizado fueron compiladas en marzo de este año, aunque todo indica que el
malware ha evolucionado con el tiempo. Se han detectado ya hasta cuatro
variantes, hasta la versión d que implementa técnicas anti emulación y
depuración, y también desactiva McAfee Solidcore.
Este malware representa una
evolución en los ataques a cajeros automáticos. En los últimos años eran
frecuentes el uso de skimmers, lectores de tarjetas, cámaras o teclados
destinados a obtener la información sensible de las tarjetas de crédito de los
clientes (banda magnética y PIN), para crear duplicados y robar al usuario
Pero Tyupkin da un paso más lejos
y busca debilidades en los propios cajeros y en las entidades para robar no al
usuario de una tarjeta sino a la propia entidad bancaria. No cabe duda, de que
en caso de éxito el botín obtenido puede ser mucho mayor que el obtenido al
robar un determinado número de tarjetas.
No es la primera vez que un
malware se introduce en cajeros y permite la extracción de dinero. A principios
de año aparecía Ploutus, con un funcionamiento muy similar a este nuevo
malware. También se introducía en un CD de arranque en sistemas Windows, sin embargo
la extracción de dinero debía hacerse a través de un mensaje SMS con un
terminal móvil conectado al cajero, lo que evidentemente dificultaba sumamente
el ataque.
La principal recomendación para
los bancos para por revisar la seguridad física de sus cajeros automáticos.
Teniendo en cuenta que es necesario acceso a la unidad de CD y reiniciar el
sistema, resulta sorprendente como alguien ajeno a la entidad puede tener tal
acceso al sistema del cajero.
Más información:
Tyupkin: Manipulating ATM Machines with Malware
Malware infecta cajeros
automáticos y roba millones de dólares
Antonio Ropero
En mi opinión no me resulta sorprendente el acceso físico al sistema, por ejemplo, alguien puede hacerse pasar por tecnico del cajero o una persona perteneciente a servicios auxiliares de la entidad bancaria, hoy en día mal pagados, pueden ser colaboradores en potencia para disponer de un acceso físico.
ResponderEliminarEsto es un golpe "desde dentro" :-D
ResponderEliminar