Malware dirigido utilizado contra bancos polacos
Varios bancos polacos han sido pirateados por atacantes desconocidos. La amenaza se envía de manera furtiva, a través de un ataque de abrevadero, mediante el cual un sitio web confiable pero comprometido redirige a una página de destino (la Autoridad de Supervisión Financiera de Polonia) con trampas explosivas.
En una nueva publicación de blog, ESET ofrece detalles técnicos de este malware, aún mínimamente documentado. Sus hallazgos clave muestran:
- El sitio web de la autoridad mexicana equivalente, la Comisión Nacional Bancaria y de Valores (Comisión Nacional Bancaria y de Valores), también ofreció redireccionamientos maliciosos idénticos.
- Si el kit de explotación entrega con éxito el malware deseado, la carga útil maliciosa, una aplicación de consola de 64 bits, se ejecuta en la computadora de la víctima.
- El algoritmo de cifrado empleado es un cifrado de flujo similar a RC4 bastante reciente llamado Spritz (https://people.csail.mit.edu/rivest/pubs/RS14.pdf, 2014).
- El cargador está protegido por un empaquetador comercial llamado Enigma Protector y el módulo se almacena en un estado encriptado, esperando que el cargador lo libere.
- En la etapa final de la infección, el módulo relativamente grande (~ 730 kB) que contiene las características principales del malware: comunicarse con el C&C y recibir órdenes de los operadores, se inyecta en todas las sesiones en ejecución en el sistema Windows comprometido.
- Solo hay una URL cifrada almacenada en el módulo. La comunicación está encriptada.
Teniendo en cuenta los artefactos en el código, ESET ha llegado a la conclusión de que esto no es ni una reutilización del código existente mucho antes de estos recientes ataques bancarios polacos, ni un proyecto olvidado y descontinuado. Además, ESET ha observado casos de malware similar a este ejemplo en las últimas semanas.
Los detalles técnicos completos están disponibles en el blog de ESET: http://www.welivesecurity.com/2017/02/16/demystifying-targeted-malware-used-polish-banks/