Cajeros

La compañía de seguridad tecnológica Kaspersky detectó en días pasados un nuevo virus que afecta principalmente a los cajeros automáticos de México, el cual permite extraer dinero de forma no autorizada.

Pero antes de entrar en pánico, la empresa de seguridad Symantec aclara que los usuarios de cajeros automáticos no están siendo afectados directamente, sino que son las instituciones financieras las que están siendo objeto de este ataque.

Este virus, denominado “Ploutus”, extrae el dinero de los cajeros a través de un panel de control que permite definir la cantidad exacta, así como las denominaciones de los billetes que los ciberdelincuentes quieren extraer.

En un comunicado, la empresa expone que este virus incluye varias peculiaridades, como un código de activación que detona el malware para conectarse con el teclado y leer la información que se digita en el cajero.

Si el virus detecta cierta combinación de teclas, aparece un panel que aparentemente se opera de forma táctil en idioma español, lo cual hace suponer que el programa se desarrolló en la región.

Otro detalle relevante es que el malware interactúa directamente con los servicios del programa que opera el cajero, por lo que se sospecha que el código fue desarrollado con el conocimiento suficiente de ese sistema, advierte.

El virus de tipo troyano, cuyo nombre completo es “Backdoor.Ploutus“, fue descubierto el 4 de septiembre de 2013 y actualizado apenas ayer, 14 de octubre.

La tendencia puede ir en crecimiento debido a que desde 2009 ya se habían detectado muestras de malware que estaban diseñadas para atacar puntos de venta o cajeros en Estados Unidos.

A continuación les compartimos la información publicada por Symantec sobre este troyano:

Metodología de infección

Los delincuentes inyectarían el malware al cajero de forma física insertando un disco de arranque en la unidad de CD-ROM, para que transfiera el malware al sistema del cajero.

Al hacer esto, los criminales crean una interfaz para interactuar con el software del cajero comprometido y por ello serían capaces de retirar todo el dinero disponible de los recipientes que guardan el efectivo, también conocidos como casettes.

Algo que también es interesante de esta táctica es que al transferir el malware, los criminales también podrían leer toda la información tecleada por los dueños de las tarjetas a través del teclado del cajero automático, lo que les permitiría robar la información sensible sin utilizar ningún dispositivo externo como el descrito anteriormente al inicio del texto.

Aunque no se ha confirmado que otros países hayan sido afectados por esta amenaza, los bancos de otros países que usan el mismo software en sus cajeros podrían estar en riesgo.

Características técnicas

1. Se ejecuta como un servicio de Windows llamado NCRDRVPS.
2. Los criminales crearon una interfaz para interactuar con el cajero a través de una clase llamada NCR.APTRA.AXFS.
3. Su nombre binario es PloutusService.exe.
4. Fue desarrollado con. NET y ofuscado con el software Confuser 1.9.
5. Crea una ventana oculta que puede ser habilitada por los delincuentes para interactuar con el cajero automático.
6. Interpreta combinaciones de teclas específicas, introducidas por los delincuentes, como comandos que se pueden recibir ya sea desde un teclado externo (que debe conectarse al cajero) o directamente desde el teclado del cajero.

¿Qué hace ?

1. Genera un ID del Cajero – Aleatoriamente genera un número que es asignado al cajero infectado, basado en el día y mes al momento de la infección.
2.  Activa el ID del Cajero – Establece un contador de tiempo para retirar el dinero. El malware entregará el dinero sólo dentro de las primeras 24 horas de haber sido activado.
3. Retira Efectivo: Entrega el dinero basado en la cantidad solicitada por los delincuentes
4. Reinicia (el servicio): Reinicia el contador de tiempo para entregar el dinero.

Proceso de retiro de efectivo

Según explica Symantec los criminales han aplicado ingeniería inversa al software del cajero para tomar control del mismo y, basándonse en el código fuente revisado, la empresa de seguridad informática infiere que Backdoor. Ploutus funciona de la siguiente manera:

1. Identificará el dispositivo dispensador en el cajero automático.
2. A continuación, obtiene el número de cassettes por dispensador y los carga. En este caso, el malware supone que hay un máximo de cuatro cassettes por dispensador ya que conoce el  modelo y diseño del cajero comprometido. Los casetes contienen los billetes disponibles en el cajero.
3. Calcula la cantidad de dinero a entregar basado en el número de billetes solicitado por los criminales, multiplicado por la denominación actual de cada uno.
4. Después inicia la operación de retiro de efectivo. Si el cassette implicado en este proceso tiene menos de 40 unidades (billetes) disponibles, no se retirará la cantidad solicitada y se entregará todo el dinero disponible en ese cassette.
5. Por último, se repetirá el paso cuatro para todos los cassettes restantes hasta que todo el dinero sea retirado del cajero.

Por ello, recomienda mantener actualizados los sistemas de punto de venta y de cajero, así como tener instalada una solución de antivirus pues, como se ha visto, “el factor común de los ataques es el sistema operativo”.

Con información de Symantec.com y Ntx.