Malware para cajeros bancarios: Right to the source

Durante años los criminales focalizados en robar dinero a la banca se han estado centrando en robar las credenciales bancarias, hacer esquemas de infección de los terminales móviles para robar el OTP que valida la operación en el móvil, preparar esquemas de ataque de man in the browser cambiando las cuentas bancarias, haciendo carding en los cajeros para robar los números de las tarjetas de crédito, montando cajeros falsos como el que se montón en la DEFCON o robándolas de las webs donde los usuarios las habían introducido. Esquemas de fraude online pensados en robar el dinero al cliente del banco en lugar de directamente al banco.

Figura 1: El camino para robar el banco ya no es la ventanilla

Pero.. ¿por qué no robarla directamente al banco? Hace tiempo el desaparecido Barnaby Jack mostró que era posible, jugando con el cajero, acceder a determinados modos de operación para acceder al dinero que tenía un cajero, así que parece que el camino estaba claro. Aquella charla fue de lo más sonado del momento. Si controlas el sistema operativo del cajero automático, controlas la caja. 

Figura 2: Barnaby Jack en Black Hat USA hackeando un cajero ATM

Eso debió ser lo que pensaron los creadores del malware que ha sido descubierto por Kaspersky, llamado Tyupkin Trojan, instalado en múltiples cajeros automáticos por todo el mundo. Según su informe, han aparecido 31 copias, la mayoría de ellas en Rusia, por lo que parece que el origen del mismo es de allí.

Figura 3: Países en los que se ha localizado Tyupkin Trojan

Los atacantes fueron capaces de tener acceso físico al arranque del sistema operativo de los cajeros, que corre Windows Embedded Edition y correr unmalware que desactiva el antivirus del equipo. A partir de ese momento se queda residente y cuando se introduce un determinado código de acceso al mismo, toma el control de la pantalla mostrando un menú de gestión del cajero, tal y como puede verse en el siguiente vídeo.

Figura 4: Vídeo demostración de Tyupkin Trojan

Lo siguiente es gestionar operaciones directamente con el cajero, para poder sacar dinero - hasta un total de 40 billetes por transacción -, desactivar la red para que no molesten los equipos de seguridad mientras están realizando la operación de vaciado del cajero, o forzar un borrado y autodestrucción del malware instalado en la máquina. Al final, un paso más allá en la en el robo de dinero, en lugar de quitárselo a las víctimas, directamente quitárselo a los cajeros automáticos.

Fuente