¿Qué diferencia a los troyanos bancarios de Latinoamérica?

Cuando hablamos de troyanos bancarios solemos referirnos al tipo de amenazas que llegan al usuario en forma de archivo adjunto en un correo electrónico (Phishing – Spear Phishing). Pero en realidad, depende de la familia a la que pertenezcan, tienen diferentes formas de actuar. En este artículo intentaremos desglosar esa forma de actuar centrándonos en las amenazas que han sido vistas en América Latina, como por ejemplo Amavaldo.

Algunas de las características son:

  • Están escritos en Delphi
  • Contienen la funcionalidad backdoor
  • Usan largas cadenas de distribución
  • Divide su funcionalidad en múltiples componentes
  • Usualmente abusan de herramientas y software legítimos
  • Buscan países de habla hispana o portuguesa

Otra característica de los troyanos que actúan en América Latina es que una vez que se conectan al servidor de C&C mantienen la conexión esperando comandos para ejecutar. Es por eso que las direcciones de estos servidores son lo que los atacantes más protegen, utilizando una única dirección para todo y así poder hacer un seguimiento de la víctima.

Estrategia de robo de dinero

A diferencia de la mayoría de los troyanos bancarios, estos de Latinoamérica, no utilizan inyección web, en lugar de eso utilizan una forma de ingeniería social que detecta continuamente qué ventanas están activas en la computadora del usuario y, si encuentran alguna relacionada con un banco, lanzan el ataque.

El propósito del ataque casi siempre es persuadir al usuario para que realice una acción especifica y de manera urgente (actualización de la aplicación del banco, o la verificación de la información de la tarjeta de crédito, etc.). Esta información es recolectada por alguna ventana en forma de pop-up o un teclado en pantalla.

Amavaldo

Esta familia de malware todavía esta en desarrollo activo, la última versión observada (10.7) tiene fecha de compilación 10/06/2019.

Aquí vemos un claro ejemplo de malware modular, donde el payload final es un archivo .zip que contiene tres componentes:

  • Una copia de una aplicacion legitima (EXE)
  • Un inyector (DLL)
  • Un troyano bancario encriptado (desencripta a DLL)

Antes de que el downloader ejecute su rutina de salida, ejecuta la aplicación legítima, luego:

  • El inyector es ejecutado via DLL
  • Se inyecta asi mismo dentro del proceso wmplayer.exe o iexplore.exe
  • Busca el troyano bancario encriptado (un archivo sin extension cuyo nombre coincide con la DLL del inyector)
  • Si encuentra dicho archivo, lo des encripta y ejecuta.

Características

Amavaldo primero recolecta información acerca de la víctima, la cual consiste en:

  • identificación de la computadora y el sistema operativo
  • Que tipo de protección bancaria tiene instalada la victima. La información es recogida de las siguientes rutas:
    • %ProgramFiles%\Diebold\Warsaw
    • %ProgramFiles%\GbPlugin\
    • %ProgramFiles%\scpbrad\
    • %ProgramFiles%\Trusteer
    • %ProgramFiles%\AppBrad\
    • %LocalAppData%\Aplicativo Itau
  • Soporta varios comandos de backdoor como muchos troyanos bancarios. Las capacidades de estos comandos incluyen:
    • Obtener capturas de pantalla
    • Capturar fotos de la victima vía webcam
    • Loguear la presión de teclas
    • Descargar y ejecutar otros programas
    • Restringir el acceso a varios sitios bancarios
    • Simulación de teclado y mouse
    • Auto actualización

Luego de detectar una ventana relacionada con un sitio bancario, toma una captura de pantalla del escritorio y lo hace parecer como el nuevo wallpaper. Luego despliega una falsa ventana elegida en base al texto de la ventana activa mientras deshabilita múltiples hotkeys y evita que el usuario interactúe con algo más que la falsa ventana.

Distribución

Hay dos cadenas de distribucion una a principios de 2019 y otra desde Abril del mismo año.

Cadena 1: Brazil

Los autores, en este caso, decidieron utilizar un instalador MSI, VBS, XSL y PowerShell para la distribución del malware.

Comienza con un instalador de Adobe Crobat Reader DC. Este instalador utiliza archivos legítimos.

Una vez que el falso instalador es ejecutado, hace uso de un archivo embebido que contiene un downloader VBS empaquetado. Luego de des empaquetarlo, este VBS descarga otro downloader VBS tambien. Este segundo downloader utiliza WMIC.exe para descargar el siguiente nivel, un script XSL con un PowerShell embebido. Finalmente, el script PowerShell es el responsable de descargar la amenaza que es un archivo comprimido el cual contiene múltiples archivos. También se asegura la persistencia creando una tarea programada llamada GoogleBol.

Cadena 2: Mejico

La cadena de distribucion mas reciente comienza con un instalador MSI muy parecido. La diferencia es que contiene un ejecutable de Windows embebido que sirve como downloader. El instalador termina con un falso mensaje de error. Inmediatamente despues de esto, el downloader es ejecutado. La persistencia es asegurada con una tarea programada que esta vez es llamada Adobe Acrobat TaskB.

Los archivos que llegan por mail, simulan ser un CV en formato PDF y para descargarlo hay que hacer clic en un link dentro del mismo email por lo que no es raro ver la ejecucion de un instalador de Adobe Acrobat.

Recomendaciones

  • No abrir archivos adjuntos de correos que provengan de un remitente desconocido.
  • En caso de tener que hacerlo, analizarlos para verificar que no contengan algún componente malicioso o hablar con el sector de seguridad para tener un sitio seguro donde ejecutarlos.
  • En cuanto al entorno corporativo, siempre en conveniente contar con:
    • Herramienta AntiSpam para el correo.
    • Antivirus, Antispam, Firewall, IPS y control de aplicaciones y dispositivos (cuantas mas capas de protección mejor).
    • Poseer Sandbox o alguna herramienta de análisis de amenazas avanzado.
    • En el caso de poseer algún producto de correo en la nube, es recomendable tener un producto de seguridad adicional para este tipo de cuentas.

También es necesario contar con una cultura cibersegura entre los empleados de la organización, a través de programas de concientización en ciberseguridad.

Si necesitás más información o recomendaciones para protegerte de las amenazas, contactanos.

De Ursnift a Emotet: colaboraciones peligrosas que crean malware más potente

En estos últimos meses hablar de troyano bancario es hablar de Emotet. No es sorpresa que esto sea así, ya que la campaña utilizada por este malware es muy agresiva y la mayoría de los bancos, por no decir todos, han recibido un correo malicioso con un documento Office adjunto.

Pero hay otro troyano bancario que inició sus actividades en el año 2009 llamado Ursnif, también conocido como Gozi, que comparte el método de propagación con Emotet, es decir, ambos utilizan documentos de Office o el correo electrónico, y ejecutan un payload que descarga otras amenazas (Emotet: Dridex – GootKit – ZeuzPanda – IceID – TrickBot – BitPaymer y Ursnif-Gozi: GandCrab – Dridex).


Las técnicas de propagación e infección utilizadas por Ursnif han evolucionado hasta llegar a las utilizadas hoy en día por Emotet; hablamos de técnicas Fileless, conocidas como LoL (Living of the Land), en las que el atacante se mueve de manera sigilosa utilizando herramientas que ya tenemos en el equipo y por lo tanto no levantan sospechas, como documentos de Word, Excel, cmd, powershell y msiexec, con los que intentan infectar nuestros equipos.

Similitudes y Diferencias

Un análisis más profundo de ambas amenazas nos muestra que las dos comparten el mismo payload, llevándonos a la conclusión de que quizás hay un grupo común detrás de estas amenazas. Esta teoría toma más fuerza debido a que los responsables de Ursnif fueron apresados en el año 2015, y la primera muestra de Emotet ha sido vista en el año 2014, ya utilizando las llamadas técnicas fileless y mostrando una evolución del malware.

Estas colaboraciones son peligrosas porque se crea malware más potente, persistente, y nos demuestra que los grupos criminales trabajan activamente, ya sea colaborando o distribuyendo las mismas herramientas propicias para el desarrollo de amenazas a diferentes actores.

Hay pequeñas diferencias. Por ejemplo, Ursnif no deja rastros en el sistema, sin embargo, Emotet  deja un archivo .lnk en el equipo para ejecutarse cada vez que inicia Windows, además de algún rastro de información en el registro, lugar que no es revisado habitualmente por ningún usuario.

Otra diferencia es que el método de ofuscación no es igual, señal de que el grupo desarrollador no es el mismo en sí.

Cómo protegerse. 

Vemos entonces cómo ambas amenazas comparten un mismo vector de infección: el correo electrónico. Una protección para el mail trabajando en conjunto con un sandbox, nos ayudaría en principio a mitigar estas amenazas, ya que tendríamos un lugar en dónde explotar los adjuntos maliciosos para que muestren su carga y así poder extraerlos de los correos electrónicos. Esta solución también requiere trabajar sobre los links embebidos en el cuerpo del mensaje, abriendo sitios en modo seguro.

Recordemos que además la protección de los equipos es muy importante. Por ello debemos contar con un software que nos permita realizar un análisis de comportamiento y configurar políticas de restricciones sobre carpetas, archivos y procesos.

También a nivel corporativo hay que revisar la posibilidad de contar con un sandbox en la nube, inteligencia artificial avanzada y listas negras, todo esto administrado desde un mismo entorno para poder contener, investigar y remediar todas las amenazas en los diferentes dispositivos con la mayor rapidez posible.

Conocé todas las recomendaciones haciendo clic acá.

Porque ante la mutación, colaboración e incremento de las ciberamenazas, debemos estar preparados para prevenir, actuar y remediar. En NextVision contamos con soluciones para proteger y acompañar a tu empresa en estas fases. Contactanos!

El troyano Emotet evoluciona

Última actualización | 22 de abril de 2019

Emotet, reconocido originalmente como el gran “troyano bancario” viene evolucionando en los últimos años y hasta convirtiéndose en un distribuidor de amenazas.

Se han detectado numerosas campañas de phishing que entregan variantes de Emotet y también se lo ha relacionado con infecciones de ransomware Ryuk dirigidas a gran escala.

Emotet se distribuye de dos maneras: a través de correos electrónicos que han adjuntado documentos de Microsoft Word con macros maliciosos y a través de correos electrónicos con enlaces maliciosos. Si un usuario abre el archivo adjunto y habilita macros, o sigue el enlace, puede resultar en la descarga y ejecución de la carga útil de Emotet en su sistema.

Ahora ha ganado también la capacidad de verificar si la IP infectada desde donde se envía el correo electrónico malicioso ya se encuentra en una lista de correo no deseado, lo que les permite enviar más correos electrónicos a las bandejas de entrada sin ser rechazados.

Ejemplos:

A) Durante la tercera semana de enero de 2019, muchos usuarios en Latinoamérica recibieron un correo electrónico como el que figura a continuación.

Este es un comportamiento muy conocido de Emotet. El malware utiliza técnicas de ingeniería social estándar e incluye el nombre de la persona cuya cuenta de correo electrónico se ha comprometido para que no parezca un mail no deseado.

El adjunto infectado:

B) Mail Malicioso usando a Amazon como remitente

Conclusión y Recomendaciones:

El troyano Emotet es una amenaza altamente automatizada, que está en pleno desarrollo y tiene blancos en determinados territorios. Su pequeño tamaño, los mecanismos de autopropagación usados y su arquitectura modular hacen que Emotet sea un arma muy efectiva en manos de los ciberdelincuentes.

Sin embargo, este troyano originariamente bancario no usa tecnologías que sean fundamentalmente nuevas y por lo tanto, siguiendo adecuadas recomendaciones, podemos proteger nuestra empresa. Qué te sugerimos:

  • Bloquear macros en documentos de Office.
  • Considerar bloquear el intercambio de archivos a través de la red.
  • Mantener la suite de MS Office al día con los parches de seguridad.
  • Si aún no fue realizada, crear una política para los correos sospechosos y notificarlos al depto de ciberseguridad/TI.
  • Mantener al día la actualización de los sistemas operativos, antimalware y aplicaciones.
  • Actualizar contraseñas: Nadie de tu red LAN debería tener como password algunas de las siguientes passwords utilizados por la botnet de #Emotet para desplegarse en otros equipos a través de SMB.
  • Restringir permisos de los usuarios para instalar y ejecutar aplicaciones de malware. No agregar usuarios al grupo de administradores locales a menos que sea necesario.
  • Contar con un software que nos permita realizar un análisis de comportamiento y configurar políticas de restricciones sobre carpetas, archivos y procesos.
  • Contar con un sandbox en la nube, inteligencia artificial avanzada y listas negras, todo esto administrado desde un mismo entorno para poder contener, investigar y remediar todas las amenazas en los diferentes dispositivos con la mayor rapidez posible.
  • Concientizar y capacitar de manera continua a los colaboradores de la empresa para crear una cultura cibersegura.

Si en tu empresa necesitás asesoramiento o consultoría para prevenir y detectar este tipo de ataques, no dudes en contactarte con nuestro equipo de expertos. Contamos con soluciones tecnológicas para prevenir, actuar y remediar amenazas. Además, disponemos de servicios de awareness para concientizar a los usuarios de tu organización. Escribinos a info@nextvision.com para más información.

Fuentes Consultadas:

    • Equipo de consultores de tecnología de NextVision