España Blanco de Skimer, el renacido ‘malware’ cajeros automáticos

Ataques de malware a bancos en diversos paises

Los cibercriminales consiguen con Skimer el control total de los cajeros automáticos infectados y pueden robar el dinero de los clientes o clonar las tarjetas. Si en 2014 un malware llamado Tyupkin desvalijaba cajeros automáticos por medio mundo, ahora otra amenaza similar está amenazando a los usuarios de cajeros automáticos en más de 10 países, entre ellos España. Se trata de Skimer, un histórico malware que ha regresado para poner en jaque a los usuarios de tarjetas de crédito de diez países: España, Francia, Estados Unidos, Rusia, Macao, China, Filipinas, Alemania, Georgia, Polonia, Brasil y República Checa. Descubierto en 2009, Skimer fue el primer programa malicioso creado para atacar cajeros automáticos. Siete años más tarde, los cibercriminales están reutilizando este malware, pero tanto los ciberladrones como el programa han evolucionado y esta vez suponen una amenaza mucho más grave para los bancos y sus clientes en todo el mundo. En ese sentido, Kaspersky Lab ha identificado 48 modificaciones del malware Backdoor.Win32.Skimer, y 37 de ellas van dirigidas a cajeros automáticos. La versión más reciente se descubrió a finales del mes de abril de 2016. Cómo funciona Skimer La actual versión de Skimer ha desarrollado un nuevo esquema en el que inicia sus operaciones al obtener acceso al sistema del cajero automático – ya sea a través del acceso físico, o a través de la red interna del banco. Después de haberse instalado con éxito en el sistema, infecta el núcleo del cajero automático – el ejecutable responsable de las interacciones del equipo con las tarjetas bancarias, el procesamiento de efectivo y de crédito. En otras palabras, los cibercriminales obtienen el control total de los cajeros infectados y los convierten en skimmers (su fin es el robo de información de tarjetas de crédito utilizado en el momento de la transacción, con la finalidad de reproducir o clonar la tarjeta de crédito o débito para su posterior uso fraudulento). Al final de la operación, se elimina la infección para que la detección de la actividad maliciosa sea más difícil Una vez que un cajero automático está infectado con Backdoor.Win32.Skimer, los ciberdelincuentes pueden llegar a retirar todos los fondos o robar los datos de las tarjetas utilizadas. Existe una gran diferencia entre estas dos operaciones: la retirada de dinero de los casetes se detecta rápidamente, mientras que el malware que roba los datos de las tarjetas puede estar activo por un periodo de tiempo muy largo. Por lo tanto la actividad no es inmediata y son muy cuidadosos ocultando pistas: el malware puede operar en el cajero automático infectado durante varios meses sin realizar ninguna actividad. Para activarlo, es necesario que un cibercriminal inserte una tarjeta concreta, con registros en la banda magnética. Después de leer los registros, Skimer puede ejecutar el comando codificado, o los comandos de solicitud a través de un menú especial activado por la tarjeta. La interfaz gráfica de Skimer aparece en la pantalla cuando se expulsa la tarjeta y el cibercriminal debe insertar la clave de sesión desde el datáfono en menos de 60 segundos. Con la ayuda de este menú, el cibercriminal puede activar 21 comandos diferentes, como el de dispensar dinero (40 billetes del casete que se especifica), recogida de datos de las tarjetas insertadas, auto-borrado, actualización (desde el código de malware actualizada incorporado en el chip de la tarjeta), entre otros. En la mayoría de los casos, los ciberdelincuentes prefieren esperar y recoger los datos de las tarjetas con el fin de crear copias después. Con estas copias se van a un cajero automático diferente, no infectado y retiran dinero de cuentas de los clientes. De esta manera, aseguran que los cajeros automáticos infectados no serán descubiertos a corto plazo. Fuente:ticbeat