Xabier Mitxelena

Por lo que se ha observado desde S21sec, esta campaña está siendo dirigida a clientes de entidades españolas y una de las principales vías de distribución detectadas se lleva a cabo a través del envío de un email acompañado de un archivo adjunto con extensión “.pdf.exe” comprimido en un archivo denominado “factura-xxxx.pdf.zip“.

Este tipo de malware emplea técnicas como el sistema Algoritmo de Generación de Dominios (DGA), que consiste en generar periódicamente gran cantidad de dominios aleatorios para dificultar el cierre de la botnet.

Con el DGA, el botmaster es capaz de predecir los dominios a los que intentará conectarse, lo que le servirá para anticiparse, registrar por sí mismo alguno de ellos y así activar la comunicación de la máquina infectada con el servidor.

S21sec ha comprobado que la afectación es similar a botnets específicas de otras familias de malware como Tinba, Kins, Pykbot y Xswkit y que posiblemente, sean operadas desde una misma banda cibercriminal usando las mismas inyecciones y alquilando los ATS (aplicación de transferencias fraudulentas automáticas). Una botnet, es un conjunto de ordenadores infectados que son controlados por ciberdelincuentes para llevar a cabo acciones maliciosas.

Una vez realizada la infección, este malware utiliza una inyección de código "html" en tiempo real para engañar al usuario cuando este accede a la banca electrónica de su entidad. De esta forma, el fraude se realiza mediante ingeniería social: "el banco" solicita al usuario la devolución de un dinero cargado en su cuenta que no le corresponde.

En realidad no es el banco el que lo solicita, sino que se ha modificado la web de la entidad bancaria para que aparezca un saldo mayor al del usuario, y la supuesta devolución no es tal, sino que el usuario realiza una transferencia desde su cuenta a otras cuentas bancarias por medio de transferencias fraudulentas automáticas (ATS).

En este sentido, Xabier Mitxelena, CEO de S21sec, señala que “desde S21sec, estamos comprometidos con la investigación de este tipo de amenazas para proveer de soluciones a nuestros clientes. Por eso queremos alertar a nuestros clientes del funcionamiento de este nuevo malware que está teniendo mucha repercusión en nuestro país”.

Desde S21sec se recomienda a los usuarios avisar a su entidad financiera en caso de que se les solicite realizar tal devolución o rectificación. Más información en www.s21sec.com