Los piratas informáticos de Carbanak utilizan malware de Bateleur para atacar cadenas de restaurantes en todo EE. UU.
Un grupo de piratas informáticos que se conoce con el nombre de Carbanak se ha propuesto infiltrarse en los servidores de las cadenas de restaurantes de los EE. UU. Si no está familiarizado con estos ciberdelincuentes, es fundamental que los presentemos. El ataque de malware no es solo sus aspirantes a piratas informáticos cotidianos que llevan a cabo ataques a pequeña escala con malware mal codificado. No, no, Carbanak está en la gran liga. El grupo de piratas informáticos fue detectado por primera vez por la empresa rusa de ciberseguridad Kaspersky Lab en 2014. Carbanak no apunta a usuarios habituales, sino a grandes instituciones financieras . El método habitual para llevar a cabo sus ataques es mediante estafas de phishing por correo electrónico. Es difícil estimar exactamente cuál es la suma total generada por sus actividades ilegales, pero se cree que está entre $ 500 millones y $ 1 mil millones. Con esta información que arroja algo de luz sobre el alcance del delito cibernético en el que está involucrado Carbanak, entremos en los detalles del ataque en cuestión.
Cómo infecta Bateleur
La estafa de phishing de la que estamos hablando hoy fue descubierta por primera vez por expertos de Proofpoint. Llamaron al malware con el nombre de una raza de águila: Bateleur. Así es como comienza todo: el restaurante objetivo recibe un correo electrónico aparentemente inofensivo. Lo más probable es que el correo electrónico en sí mismo no cause ninguna sospecha: se envía desde una dirección de Gmail o Outlook. Afirma que se trata de un cheque que supuestamente ya se ha discutido. Contiene un documento de Word que está destinado a engañar al receptor haciéndole creer que esto es, de hecho, el cheque. Aquí es donde se vuelve peligroso: el documento adjunto en el mensaje de correo electrónico fraudulento está encriptado y también contiene una alerta que indica que el archivo ha sido protegido por 'Google Documents Protect Service' o 'Outlook Protect Service' (según qué proveedor utilizaron los atacantes para enviar el mensaje). Sin embargo, ninguno de estos 'servicios de protección' existe, y no son más que un truco simple pero astuto cuyo objetivo es engañar a la víctima haciéndole creer que el archivo que están a punto de abrir es legítimo. En la parte inferior del documento, los usuarios encontrarán los logotipos de algunos proveedores de productos antivirus populares, que se colocan allí para convencer aún más a la víctima de que piense que el archivo es confiable. El documento solicitaría a la víctima que habilite la edición y, en caso de que el usuario caiga en la trampa de Carbanak, el documento procede a desplegar su carga útil maliciosa.
Las capacidades ofensivas y defensivas de Bateleur
Una vez que Bateleur ha encontrado su camino en el sistema de la víctima, comienza a funcionar. Esta amenaza es particularmente engañosa ya que tiene un conjunto completo de herramientas anti-detección a su disposición. Bateleur es capaz de reconocer si está en una caja de arena, un entorno controlado que los investigadores de malware utilizan para estudiar las amenazas y desarrollar herramientas para combatirlas. Si ese es el caso, Bateleur detendría sus procesos y así evitaría que los expertos en malware lo separaran. Otra de sus astutas capacidades es la ofuscación. Esta es la capacidad de una amenaza para ofuscar su código y, por lo tanto, hacer que analizarlo sea casi imposible.
Habiendo enumerado las capacidades defensivas de Bateleur, es hora de que entremos en el poder ofensivo de la amenaza. El troyano puede extraer información importante sobre la configuración de la computadora de la víctima y los procesos en ejecución. Además de esto, brinda a los atacantes remotos la capacidad de ejecutar comandos y scripts de PowerShell. Además, Bateleur es totalmente capaz de actualizar sus módulos principales e incluso desinstalarse a sí mismo. El troyano puede tomar capturas de pantalla de los datos que considera importantes y enviarlos a los servidores de control de Carbanak . Bateleur también está destinado a ser capaz de robar contraseñas , pero su versión actual carece de ciertos módulos necesarios para habilitar esta función en particular. Sin embargo, conociendo el nivel en el que opera Carbanak, los expertos en malware esperan que esto se agregue pronto a Bateleur.
Teniendo en cuenta todas las medidas de seguridad que ha tomado Carbanak para hacer que Bateleur sea lo más impenetrable posible, parece que este troyano seguirá representando una gran amenaza para las empresas e instituciones, muchas de las cuales no reconocen la importancia de mantener actualizado su software. fecha y compra de un paquete de seguridad de buena reputación.