El malware PoSeidon representa una nueva amenaza minorista

Malware de punto de venta (PoS) recién detectado que infecta máquinas para buscar información de tarjetas de crédito y exfiltrar esa información a servidores externos.
Según una investigación de Cisco, «PoSeidon» contiene varios componentes, incluida la capacidad de mantener la persistencia en la máquina de destino para sobrevivir a un reinicio, e instala un registrador de teclas y escanea la memoria del dispositivo PoS en busca de secuencias numéricas que podrían ser números de tarjetas de crédito.
PoSeidon sinicia con un binario «Loader» que mantiene la persistencia, y se pone en contacto con un servidor de comando y control para recuperar una URL que contiene otro binario que instala un keylogger y escanea la memoria del dispositivo PoS. Al verificar que los números son números de tarjetas de crédito, las pulsaciones de teclas y los números de tarjetas de crédito se codifican y se envían a un servidor de exfiltración.
Las copias de «Loader» en el sistema, sobrescribiendo cualquier archivo en esa ubicación que pudiera tener el mismo nombre. Si Loader no puede instalarse a sí mismo como un servicio, intentará encontrar otras instancias de sí mismo ejecutándose en la memoria y las terminará.
Cisco dijo que PoSeidon es otro ejemplo de las técnicas y enfoques sofisticados de los autores de malware y mientras los ataques de PoS sigan proporcionando beneficios, los atacantes seguirán invirtiendo en innovación y desarrollo de nuevas familias de malware.
Tim Erlin, director de gestión de productos de Tripwire, dijo que dado que el malware PoS ha sido extremadamente productivo para los delincuentes en los últimos años, hay pocas razones para esperar que eso cambie pronto. “No es de extrañar que a medida que la industria de la seguridad de la información actualice las herramientas para detectar este software malicioso, los autores continuarán ajustando e innovando para evitar la detección”, dijo.
«Los estándares como el Estándar de seguridad de datos de PCI solo pueden sentar las bases para proteger a los minoristas y consumidores de estas amenazas. Un estándar como PCI puede especificar un requisito para la protección contra malware, pero cualquier técnica específica incluida puede volverse obsoleta a medida que evoluciona el malware. Sin embargo, existen algunas capacidades básicas que detectan la actividad común a la mayoría de los programas maliciosos. Identificar y parchear vulnerabilidades puede evitar que el malware ingrese al sistema en primer lugar. El monitoreo de archivos nuevos y cambios en los archivos puede detectar cuándo el malware se instala en un sistema, como lo hace Poseidon «.
Sagie Dulce, investigadora de seguridad de Imperva, dudaba de que este malware sea más sofisticado que otro malware POS conocido anteriormente. Dijo: “El blog dice que el keylogger elimina las claves de registro almacenadas por una aplicación de acceso remoto llamada ‘LogMeIn’. Quizás esta sea una pista sobre el compromiso inicial: los atacantes pueden haber robado las credenciales de LogMeIn para acceder de forma remota al dispositivo POS (y tal vez a muchos otros con la misma cuenta) e instalar el malware POS «.