Troyano ZeuS para móviles, hechos y conjeturas

Publicado en Artículos, Seguridad,


Tweet about this on TwitterShare on Google+2Share on Facebook0Share on LinkedIn0

Hoy en día la banca online se ha convertido en algo cotidiano para muchas personas. Un número cada vez mayor de bancos se esmeran en expandir al máximo el espectro de servicios al que se puede acceder después de darse de alta en el sistema de banca online. Comodidad, velocidad…, parece que todo es positivo. Pero allí donde hay dinero, aunque no sea en forma de billetes reales, siempre habrá estafadores.

Es difícil decir cuándo empezaron los primeros ataques contra los usuarios de la banca online. Pero no es tan importante en este caso. Nos hemos enfrentado a dos tipos de ataques: los que usan métodos de phishing “clásico” y los hechos mediante diferentes programas maliciosos. El blanco inicial de estos ataques eran los medios de identificación del usuario en el sistema de banca online. Es decir, el login y la contraseña. A medida de que se iban perfeccionando los mecanismos de protección de los bancos, también mejoraban los programas maliciosos: los delincuentes informáticos aprendieron a burlar la mayoría de los métodos existentes de confirmación de operaciones de la banca online.

Actualmente los métodos más populares de protección de la banca online son los códigos de autorización, (TAN, transaction authentication number) y la firma digital. En algunos casos, el banco puede enviar los códigos de autorización en mensajes SMS (mTAN, mobile transaction authentication number). Hasta septiembre de 2010 no se habían registrado ataques contra los códigos de autorización de operaciones en teléfonos móviles. En 2009 hubo un par de noticias sobre hackers que hacían compras masivas de teléfonos Nokia 1100 por decenas de miles de dólares, pero no cualquier teléfono, sino sólo aquellos producidos en la fábrica de Bochum, Alemania. Parece ser que estos teléfonos tenían características (¿o más bien vulnerabilidades?) que permitían interceptar todos los SMS, entre ellos los que contenían códigos mTAN. Sin embargo no se registraron casos concretos de captura de datos.

El troyano ZeuS para smartphones (ZeuS-in-the-Mobile, o ZitMo), que apareció a finales de septiembre de 2010 fue el primer programa malicioso para móviles que robaba códigos de autentificación de transacciones bancarias. Es precisamente a este programa malicioso que dedicamos este artículo.

Esquema general del ataque ZitMo

El ZeuS móvil, Trojan-Spy*.Zitmo tiene un solo objetivo: de una forma rápida e inadvertida robar los códigos mTAN. En primer lugar hay que destacar un factor importante: ZitMo funciona en estrecha colaboración con ZeuS. Llamaremos simplemente ZeuS a la modificación del troyano para la plataforma Win32, Trojan-Spy.Win32.Zbot según la clasificación de Kaspersky Lab.

Recordamos que el ZeuS para los PC que funcionan con Windows es conocido desde hace bastante tiempo. Las primeras modificaciones de este programa malicioso aparecieron en el lejano 2007. En el artículo de Dmitry Tarakanov se puede leer cómo funciona este programa malicioso.

¿Qué pasa si un usuario en cuyo sistema está instalado ZeuS trata de autorizarse en su sistema de banca online? El usuario trata de visitar la página de su banco para autorizarse en el sistema. ZeuS, al darse cuenta de que la víctima visita esta dirección, modifica la página web en el navegador de tal manera que los datos personales que el usuario ingresa para autorizarse no se envían al banco, sino al servidor de administración de la botnet ZeuS.

Alrededor de septiembre de 2010 los delincuentes agregaron una nueva función a ZeuS. El esquema de su funcionamiento no ha sufrido cambios, pero ahora en la página modificada de autorización, además del login y contraseña, se pide al usuario que indique el modelo de smartphone y escriba su número, supuestamente para renovar los certificados.

Los usuarios que enviaban a los delincuentes la información sobre los teléfonos móviles, después de un tiempo recibían en el número indicado un SMS que les pedía instalar un nuevo certificado de seguridad. El “certificado de seguridad” se podía bajar en el enlace indicado en el mensaje SMS. Pero en realidad el certificado era la versión móvil del troyano ZeuS. Si el usuario visitaba el enlace, descargaba e instalaba la aplicación, su teléfono se contagiaba con ZitMo, cuya principal función es enviar a los teléfonos de los delincuentes los mensajes SMS indicados en el cuerpo del troyano.

Desde entonces el esquema de propagación del ZeuS móvil no ha cambiado: los usuarios lo instalan en sus smartphones pensando que se trata de software legítimo.

Los delincuentes que consiguieron robar mediante ZeuS los datos personales que el usuario escribe para ingresar al sistema de banca online e infectaron el smartphone con ZitMo, pueden superar la última línea de defensa del sistema de banca online, mTAN. Usando el login y contraseña del usuario se autorizan en el sistema de banca online y tratan de ejecutar la transacción (por ejemplo, enviar dinero de la cuenta del usuario a su propia cuenta).

Para realizar la transacción se necesita una confirmación adicional mediante el código de autorización que el banco envía por SMS al teléfono del cliente. El banco, después de recibir la solicitud del cliente pidiendo la transacción, envía a su teléfono un SMS con el código de autorización. El SMS llega al teléfono infectado por ZitMo, que de inmediato lo envía al teléfono del delincuente, que usando el mTAN robado, confirma la transacción. Mientras todo esto pasa, el cliente del banco no sospecha nada.

El esquema general del ataque es el siguiente:

  • Con la ayuda de ZeuS el delincuente roba los datos necesarios para obtener acceso a la banca online y el número móvil del cliente del banco.
  • Se envía un SMS al smartphone de la víctima que le pide instalar una actualización del certificado de seguridad u otro software necesario. En realidad, el enlace del SMS lleva a una versión móvil de ZeuS.
  • Si el usuario ha instalado este software, es decir, si infectó su teléfono, el delincuente -usando los datos personales robados al usuario- trata de hacer una transferencia de dinero desde la cuenta del usuario, para lo cual es necesario ingresar el código mTAN.
  • El banco envía un mensaje SMS con este código al smartphone del cliente.
  • ZitMo envía el SMS con el código de autorización al número de teléfono del delincuente.
  • El delincuente, mediante el mTAN robado, confirma la transacción.

Casos de ataques conocidos

La primera noticia que se tiene de ZitMo fue publicada el 25 de septiembre de 2010. Fue la compañía española S21sec, dedicada a la protección de información, la que escribió sobre el asunto. Sin embargo, hasta ahora no se sabe qué clientes de qué banco estuvieron bajo riesgo. De toda la información disponible, se puede sacar la conclusión de que lo más probable es que se haya tratado de un banco español.

Después de esta publicación, las compañías antivirus llevaron a cabo sus propias investigaciones. S21sec declaró que había encontrado versiones de ZitMo para dos plataformas móviles: Symbian y Blackberry. Se logró obtener ejemplares del programas malicioso para Symbian. Sin embargo, durante mucho tiempo no se pudo capturar un ejemplar de ZitMo para Blackberry. Esta versión existía sólo en las publicaciones.

Un blogger polaco escribió sobre el segundo ataque de ZitMo el 21 de febrero de 2011. También se dieron a conocer los nombres de los bancos cuyos clientes fueron víctimas del ataque: ING y mBank.

También se expandió la lista de plataformas atacadas: ahora también estaban en peligro los usuarios de smartphones con Windows Mobile.

Hasta el momento se han hecho públicos sólo los ataques de ZitMo mencionados. Pero no se sabe si hubo otros ataques. Si los hubo, lo más probable es que ya no se publique información en fuentes públicas.

Hasta el momento se han detectado diferentes modificaciones de ZitMo para las siguientes plataformas: Symbian, Windows Mobile, Blackberry y Android.

Para empezar, hay que destacar un detalle muy importante e interesante, común a todas las versiones de ZitMo, excepto la versión para Android. El troyano que funciona en el smartphone se somete a las instrucciones que le llegan por SMS. Así que en esencia ZeuS para móviles es un bot SMS, cuyo centro de administración es otro teléfono, mejor dicho, otro número de teléfono.


El artículo completo puede ser leído aquí

Califica esta entrada

Etiquetas: , , , , ,


Deja un comentario

Cuanto es 17 + 18 ?
Please leave these two fields as-is:
IMPORTANTE! Necesitas resolver la operación matemática para poder continuar.

Newsletter

Redes sociales

Centro de soporte

Centro de recursos