además de todas las técnicas habituales que usa el malware 2.0 para
pasar desapercibido, falsea el balance del usuario víctima una vez ha
sido robado. Así, el afectado no puede detectar la falta de dinero en
su cuenta a menos que analice un extracto por algún otro medio que no
sea su propio ordenador, o le sea devuelto algún recibo.
Es común
hoy en día que los troyanos inyecten campos adicionales en las páginas
de los bancos para “capturar” la tarjeta de coordenadas o las
contraseñas secundarias que permiten el movimiento del dinero. Es común
que se salten restricciones de todo tipo impuestas por los bancos
(teclados virtuales, ofuscación, OTP…), destinadas a detener su
avance. Casi todos tienen técnicas de ocultación sofisticadas que hacen
que a pesar de los esfuerzos de las casas antivirus, no sean detectados
en su mayor parte. La mayoría también ofusca su código para dificultar
el análisis de los investigadores… Lo que no es tan común es que los
troyanos, al robar, falseen el balance de las cuentas del usuario, para
que el usuario no detecte que el dinero ha sido traspasado a otro lugar.
La
técnica que utiliza esta muestra observada es la misma que se suele
usar para monitorizar qué página está siendo visitada e inyectar los
campos. Esto habitualmente se realiza a través de BHO (Browser Helper
Objects) en Internet Explorer. Los BHO, al tener completo control sobre
el DOM (Document Object Model) de la página, pueden eludir entre otras
restricciones el cifrado, e inyectar en las páginas los campos que
estimen oportuno. Ocurre de forma totalmente transparente y sobre la
página real al ser visitada por un sistema troyanizado. Este mismo
método se utiliza para falsear el balance real de la cuenta. Así, el
usuario no percibe que está siendo robado. El troyano también se cuida
de no dejar la cuenta en números rojos, para evitar igualmente ser
detectado.
Cuanto más tiempo pase desapercibido el robo para la
víctima, más veces podrá transferir pequeñas cantidades y pasar así
también desapercibido para el banco. Los bancos, hoy en día, tienen
sistemas de alerta que avisan al usuario cuando se detectan movimientos
que se salen del patrón habitual de su usuario. Esto empezaba a ser un
problema para ciertos troyanos que realizaban grandes transferencias,
pues los bancos advertían al usuario víctima de una posible estafa. Con
estos métodos consiguen no hacer sonar ninguna alarma ni en el usuario
ni en su banco.
Se ha informado de la difusión de este malware en
toda Europa. Algunos lo han llamado URLZone, aunque parece una variante
de SilentBanker. El método de infección (esto sí es habitual) suele ser
la visita a páginas web legítimas infectadas, que intentan aprovechar
diferentes vulnerabilidades del navegador o del sistema operativo
Windows para ejecutar código y realizar su función.
Más Información:
New Malware Re-Writes Online Bank Statements to Cover Fraud
http://www.wired.com/threatlevel/2009/09/rogue-bank-statements/
Autor: Sergio de los Santos
Fuente: Hispasec
Read the original post:
Troyano bancario falsea el balance de las cuentas robadas para evitar ser detectado |