Cuídado

 Malware en cajeros automáticos
 ------------------------------

SpiderLabs ha publicado un estudio en el que analizan un ejemplar de
malware que afecta a cajeros automáticos. Se le ha seguido por Europa
del Este durante 18 meses. Ya en marzo, a través del blog de Hispasec,
se anunció la noticia de un ejemplar que afectaba a los cajeros de la
marca Diebold en Rusia. En ese caso las muestras fueron analizadas por
SophosLabs y suministradas a través de VirusTotal donde llegaron el 11
de noviembre de 2008.

Con un total de 16 actualizaciones hasta ahora y una calidad de código
etiquetada de "profesional" en su factura, el ejemplar estudiado por
SpiderLab es instalado, al parecer, por personal desde dentro de la
entidad bancaria, y permanece en la máquina afectada monitorizando la
cola de mensajes de las transacciones esperando a que un usuario inserte
su tarjeta y pin para ser copiados.

¿Dónde envía los datos robados?

No los envía. El troyano no hace uso de la red, no tiene capacidad
alguna para efectuar comunicaciones, posiblemente para no levantar
sospechas en los sistemas de monitorización de tráfico del banco.

En su lugar, lo que hace es esperar a que una tarjeta de control sea
insertada, en ese momento el troyano presentará en pantalla un menú con
diversas opciones, entre las cuales se encuentran la de imprimir por la
impresora del cajero los datos robados, resetear los logs a cero (para
no amontonar los datos ya extraídos), desinstalar el troyano, resetear
el cajero y la más lucrativa aunque también notoria: sacar todo el
dinero en efectivo que tenga el cajero en ese momento.

Aunque no todas las opciones están disponibles para todos los usuarios.
Hay dos tipos de niveles, para los administradores y otra con funciones
recortadas, supuestamente para colaboradores, léase "muleros".

De momento todos los casos han necesitado de un colaborador para
infectar manualmente la máquina, dificultad que impide la proliferación
de casos de este tipo de malware.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3883/comentar

Más información:

Troyano para cajeros automáticos
http://blog.hispasec.com/laboratorio/335

Data-sniffing trojans burrow into Eastern European ATMs
http://www.theregister.co.uk/2009/06/03/atm_trojans/

ATM - Malware Analisys Briefing
http://regmedia.co.uk/2009/06/03/trust_wave_atm_report.pdf


David García
dgarcia@hispasec.com


--
Saludos.

Óscar José Luis Cruz Reyes