Según informó la compañía de detección proactiva de amenazas ESET, los nuevos troyanos bancarios apuntan específicamente a América Latina y utilizan una forma de ingeniería social enfocada en tratar de engañar a los usuarios. Están diseñados para detectar continuamente ventanas activas en la computadora de la víctima, y si encuentran una relacionada con un banco, lanzan un ataque.
Estos ataques generalmente se centran en persuadir a la víctima para que tome una acción urgente o necesaria. Puede vincularse la actualización de la aplicación bancaria utilizada por la víctima, o la verificación de la información tanto de una tarjeta de crédito como de las credenciales de acceso a la cuenta bancaria.
De esta manera, una falsa ventana emergente es utilizada para robar estos datos una vez que la víctima los ingresa o se utiliza también un teclado virtual que actúa como un keylogger. La información sensible es entonces enviada al atacante, quien hará uso de esta información de la manera en que considere más conveniente.
Dentro de la familias de malware recientemente descubiertas, Amavaldo se dirige específicamente a aplicaciones bancarias brasileñas y mexicanas y se caracteriza por el uso de un esquema de cifrado personalizado utilizado para la ofuscación de cadenas. Una vez instalado el código malicioso puede recibir comandos para realizar diferentes acciones sobre la computadora de la víctima:
- Capturar fotos de la víctima a través de la cámara web
- Registro del texto que se introduce a través del teclado
- Descargar y ejecutar otros programas
- Restringir accesos a varios sitios bancarios
- Simulación de teclado y ratón
- Auto actualización
Desde el Laboratorio de ESET se cree que los archivos maliciosos utilizados para infectar el dispositivo de la víctima se propagan a través de una campaña de correo electrónico no deseado, con los archivos disfrazados de archivos PDF legítimos.
“La manera más sencilla de distribuir estos troyanos bancarios es utilizando un downloader (archivo ejecutable de Windows) que se hace pasar por el instalador de un software legítimo. Este método, utiliza una cadena de múltiples etapas empleando varias capas de downloaders como JavaScript, PowerShell o Visual Basic Script (VBS). El payload final comúnmente se entrega a través de un archivo zip que contiene el troyano bancario”, comentó Camilo Gutierrez, Jefe del Laboratorio de Investigación de ESET Latinoamérica.
Las nuevas familias de troyanos bancarios descubiertos comparten un conjunto de características comunes: están escritos en el lenguaje de programación Delphi, contienen funcionalidad de backdoor, abusan de herramientas y software legítimos y están destinados a países de habla hispana o portuguesa.
“La principal ventaja que los autores del malware obtienen a partir de este método es que resulta muy complicado para investigadores de malware llegar al final de la cadena y por lo tanto analizar el payload final. Sin embargo, también es más sencillo para una solución antivirus detener la amenaza porque solo necesita romper un eslabón de la cadena”, concluyó.
Fuente: Ambito.com