Se ha detectado una familia de troyanos que, además de todas las técnicas habituales que usa el malware 2.0 para pasar desapercibido, falsea el balance del usuario víctima una vez ha sido robado. Así, el afectado no puede detectar la falta de dinero en su cuenta a menos que analice un extracto por algún otro medio que no sea su propio ordenador, o le sea devuelto algún recibo.
Es común hoy en día que los troyanos inyecten campos adicionales en las páginas de los bancos para “capturar” la tarjeta de coordenadas o las contraseñas secundarias que permiten el movimiento del dinero. Es común que se salten restricciones de todo tipo impuestas por los bancos (teclados virtuales, ofuscación, OTP…), destinadas a detener su avance. Casi todos tienen técnicas de ocultación sofisticadas que hacen que a pesar de los esfuerzos de las casas antivirus, no sean detectados en su mayor parte. La mayoría también ofusca su código para dificultar el análisis de los investigadores… Lo que no es tan común es que los troyanos, al robar, falseen el balance de las cuentas del usuario, para que el usuario no detecte que el dinero ha sido traspasado a otro lugar.
La técnica que utiliza esta muestra observada es la misma que se suele usar para monitorizar qué página está siendo visitada e inyectar los campos. Esto habitualmente se realiza a través de BHO (Browser Helper Objects) en Internet Explorer. Los BHO, al tener completo control sobre el DOM (Document Object Model) de la página, pueden eludir entre otras restricciones el cifrado, e inyectar en las páginas los campos que estimen oportuno. Ocurre de forma totalmente transparente y sobre la página real al ser visitada por un sistema troyanizado. Este mismo método se utiliza para falsear el balance real de la cuenta. Así, el usuario no percibe que está siendo robado. El troyano también se cuida de no dejar la cuenta en números rojos, para evitar igualmente ser detectado.
Cuanto más tiempo pase desapercibido el robo para la víctima, más veces podrá transferir pequeñas cantidades y pasar así también desapercibido para el banco. Los bancos, hoy en día, tienen sistemas de alerta que avisan al usuario cuando se detectan movimientos que se salen del patrón habitual de su usuario. Esto empezaba a ser un problema para ciertos troyanos que realizaban grandes transferencias, pues los bancos advertían al usuario víctima de una posible estafa. Con estos métodos consiguen no hacer sonar ninguna alarma ni en el usuario ni en su banco.
Se ha informado de la difusión de este malware en toda Europa. Algunos lo han llamado URLZone, aunque parece una variante de SilentBanker. El método de infección (esto sí es habitual) suele ser la visita a páginas web legítimas infectadas, que intentan aprovechar diferentes vulnerabilidades del navegador o del sistema operativo Windows para ejecutar código y realizar su función.
ssantos@hispasec.com
Más información:
New Malware Re-Writes Online Bank Statements to Cover Fraud
http://www.wired.com/threatlevel/2009/09/rogue-bank-statements/
si bien es importante el presente artículo, es para tener en cuenta reforzar los antivirus con las actualizaciones correspondiente.