Los laboratorios de Kaspersky han detectado un nuevo malware, bautizado como Backdoor.MSIL.Tyupkin, conocido simplemente como Tyupkin, que ha permitido el robo de millones de dólares de cajeros automáticos.
El ataque se produce en dos fases, en primer lugar los atacantes deben conseguir acceso físico al cajero automático, que debe funcionar con un sistema basado en Windows 32 bits. Lo que no queda claro de qué forma se consigue esto, ya que deben introducir un CD de arranque para poder instalar el malware Tyupkin y tras reiniciar el sistema el cajero ya estará infectado y bajo el control del atacante.
El malware se ha detectado en aproximadamente unos 50 cajeros automáticos de Europa del Este, aunque todo indica que se ha podido extender a otros países de Europa, América y Asia.
Para dificultar la detección el malware solo se activa en unas horas concretas de la noche del domingo al lunes. Es ahí cuando los atacantes pueden acceder al dinero que se encuentra en los cajeros y vaciarlos literalmente.
Según Kaspersky:
«En cada sesión del expolio, se genera una única clave basada en números aleatorios, lo que asegura que ningún viandante pudiera beneficiarse accidentalmente del fraude. El ejecutante recibe instrucciones por teléfono de otro miembro de la red que conoce el algoritmo y es capaz de generar una clave de sesión. Este segundo código de control evita que las mulas que recogen el dinero pudieran intentar hacer la operación por libre.«
Kaspersky confirma que las muestras que han analizado fueron compiladas en marzo de este año, aunque todo indica que el malware ha evolucionado con el tiempo. Se han detectado ya hasta cuatro variantes, hasta la versión d que implementa técnicas anti emulación y depuración, y también desactiva McAfee Solidcore.
Este malware representa una evolución en los ataques a cajeros automáticos. En los últimos años eran frecuentes el uso de skimmers, lectores de tarjetas, cámaras o teclados destinados a obtener la información sensible de las tarjetas de crédito de los clientes (banda magnética y PIN), para crear duplicados y robar al usuario
Pero Tyupkin da un paso más lejos y busca debilidades en los propios cajeros y en las entidades para robar no al usuario de una tarjeta sino a la propia entidad bancaria. No cabe duda, de que en caso de éxito el botín obtenido puede ser mucho mayor que el obtenido al robar un determinado número de tarjetas.
No es la primera vez que un malware se introduce en cajeros y permite la extracción de dinero. A principios de año aparecía Ploutus, con un funcionamiento muy similar a este nuevo malware. También se introducía en un CD de arranque en sistemas Windows, sin embargo la extracción de dinero debía hacerse a través de un mensaje SMS con un terminal móvil conectado al cajero, lo que evidentemente dificultaba sumamente el ataque.
La principal recomendación para los bancos para por revisar la seguridad física de sus cajeros automáticos. Teniendo en cuenta que es necesario acceso a la unidad de CD y reiniciar el sistema, resulta sorprendente como alguien ajeno a la entidad puede tener tal acceso al sistema del cajero.
Más información:
Tyupkin: Manipulating ATM Machines with Malware
Malware infecta cajeros automáticos y roba millones de dólares
Antonio Ropero
En mi opinión no me resulta sorprendente el acceso físico al sistema, por ejemplo, alguien puede hacerse pasar por tecnico del cajero o una persona perteneciente a servicios auxiliares de la entidad bancaria, hoy en día mal pagados, pueden ser colaboradores en potencia para disponer de un acceso físico.
Esto es un golpe «desde dentro» 😀