En los últimos tiempos, las técnicas fraudulentas tradicionales (phishing) basadas en la ingeniería social han evolucionado, apoyándose en el uso de malware, en concreto, en troyanos. Así, hoy en día, la mayoría de estos especímenes de código malicioso están diseñados precisamente con el objetivo de conseguir beneficios económicos para sus creadores a través de los fraudes bancarios.
¿Qué son los troyanos bancarios? ¿Qué vectores de infección explotan estos ejemplares? ¿Cómo consiguen interceptar las credenciales de las entidades financieras? A continuación se dará respuesta a éstas y otras preguntas, analizando las principales familias de troyanos bancarios, e intentando concienciar al lector de la creciente amenaza de estos ejemplares.
¿Qué es un troyano bancario? Situación actual de equipos afectados por troyanos y troyanos bancarios bancos, bank, banker, silentbanker, zbot, sinowal, torpig, fraud, zeus, infostealer, ambler, stealer, yessim, yaludle, banload, bankpatch, multibanker, nethell, chromeinject, goldun, banspy, bancodoor y bancodo. ¿Qué técnicas emplean estos ejemplares para monitorizar la visita a páginas bancarias?
La propia URL del banco objeto de suplantación: http://www.mibanco.com Subcadenas de la URL del banco: *mibanco.com El título de la ventana de la página de banca en línea: MiBanco – Internet Explorer Cadenas particulares del cuerpo de la página de banca en línea: © MiBanco 2008. Todos los derechos reservados. Cadenas del código HTML de la página relacionadas con los formularios de ingreso a la cuenta personal: <label for="lg_username" class="labuser_01"> Para poder comparar estas cadenas con los nombres, y otros parámetros, de las páginas visitadas, ha de existir un mecanismo que permita interactuar con el contexto de la página visitada. Los métodos más usuales son la intercepción de funciones de la API de Existen otras familias de troyanos que pueden emplearse para cometer fraude aunque éste no sea su cometido primordial o único. Por ejemplo, los capturadores genéricos de teclas en ocasiones pueden ser utilizados para capturar credenciales bancarias. De igual forma, los troyanos tradicionales de puerta trasera permiten hacer capturas de pantalla remotas y ver lo que el usuario escribe. Así, podrían ser empleados por un atacante para interceptar credenciales de servicios de banca o pagos online. Estas familias no se están considerando en el análisis. Windows (hooks), extensiones de Internet Explorer (BHOs, Browser Helper Objects) o de Firefox, inspección de ventanas abiertas, DDE, interfaces COM/OLE, e instalación de controladores en el sistema. ¿Cómo logran los troyanos robar las credenciales bancarias? ¿Qué sucede con los datos robados? Una vez capturados los datos de banca electrónica, éstos han de pasar a manos de los atacantes para poder perpetrar el robo. Cuando se emplea el phishing o el pharming, será el propio servidor fraudulento, que contiene las imitaciones de las páginas de banca legítimas, el que analiza y trata los datos, posteriormente los guarda en el propio ordenador o los envía a un tercer equipo. Además, con el fin de levantar menos sospechas, los datos robados suelen cifrarse antes de su envío al atacante; así, cualquiera que monitorice el tráfico detectará comunicaciones extrañas pero no será capaz de ver la información robada. En los últimos meses se está haciendo habitual entre los criminales el empleo de auténticos portales Web para la recogida de los datos robados y creados exclusivamente para ese fin. Estos portales contienen una base de datos y conjunto de scripts (códigos ¿Cómo se materializa finalmente el robo? Una vez el atacante cuenta con las credenciales y datos de acceso a las cuentas bancarias, el atacante tiene que extraer el dinero de las cuentas. Para ocultar su identidad, los atacantes tradicionalmente han recurrido a la figura de los muleros. Estos muleros son individuos que, pensando que están realizando un trabajo totalmente legal y por una cierta cantidad de dinero, actúan sin ellos saberlo como pasarela en transacciones bancarias de dudosa naturaleza, y que al final se hacen responsables del fraude cometido al actuar de pantallas del delincuente. Hay que destacar nuevamente que estos muleros son usuarios normales, que actúan de buena fe, pensando que realizan un trabajo remunerado para una empresa o un tercero, y que normalmente son captados para realizar estas operaciones mediante ofertas de trabajo falsas por Internet. El sistema de transferencias para el robo funciona del siguiente modo: los atacantes se introducen en la cuenta del usuario del que tienen los datos, con las credenciales robadas, y realizan una transacción a una cuenta que previamente ha abierto el mulero, con su propia titularidad, recalcando de nuevo que sin conocer que está cometiendo un delito. Una vez que el cibercriminal envía el dinero, desde la cuenta bancaria del usuario al que ha robado los datos, al mulero, éste extrae el dinero de su cuenta y realiza la entrega del mismo al atacante o a un delegado de este, bien en mano o, más habitualmente, a través de transacciones hacia cuentas en el extranjero que pertenecen al delincuente y que no dejan ningún registro. Por lo general, en este tipo de estafas, el mulero es la única identidad visible, y en el mejor de los casos éste sería capaz de identificar al atacante que le “contrató” para realizar dichos servicios y enviar las transferencias. El modelo se puede complicar, recurriendo a diversos muleros intermedios que van transfiriendo el dinero entre sus cuentas hasta que finalmente se llega a un último punto en el que se transfiere el dinero al atacante.
