Con un total de 16 actualizaciones hasta ahora y una calidad de código etiquetada de "profesional" en su factura, el ejemplar estudiado por SpiderLab es instalado, al parecer, por personal desde dentro de la entidad bancaria, y permanece en la máquina afectada monitorizando la cola de mensajes de las transacciones esperando a que un usuario inserte su tarjeta y pin para ser copiados.
¿Dónde envía los datos robados?
No los envía. El troyano no hace uso de la red, no tiene capacidad alguna para efectuar comunicaciones, posiblemente para no levantar sospechas en los sistemas de monitorización de tráfico del banco.
En su lugar, lo que hace es esperar a que una tarjeta de control sea insertada, en ese momento el troyano presentará en pantalla un menú con diversas opciones, entre las cuales se encuentran la de imprimir por la impresora del cajero los datos robados, resetear los logs a cero (para no amontonar los datos ya extraídos), desinstalar el troyano, resetear el cajero y la más lucrativa aunque también notoria: sacar todo el dinero en efectivo que tenga el cajero en ese momento.
Aunque no todas las opciones están disponibles para todos los usuarios. Hay dos tipos de niveles, para los administradores y otra con funciones recortadas, supuestamente para colaboradores, léase “muleros”.
De momento todos los casos han necesitado de un colaborador para infectar manualmente la máquina, dificultad que impide la proliferación de casos de este tipo de malware.
David García
dgarcia@hispasec.com
dgarcia@hispasec.com
Más información:
Troyano para cajeros automáticos
http://blog.hispasec.com/laboratorio/335
Data-sniffing trojans burrow into Eastern European ATMs
http://www.theregister.co.uk/2009/06/03/atm_trojans/
ATM - Malware Analisys Briefing
http://regmedia.co.uk/2009/06/03/trust_wave_atm_report.pdf
