Etiqueta: BackSwap

Backswap ataca ahora a la banca española

Nueva versión de Backswap ataca ahora a seis entidades bancarias españolas.

 

Ya hablamos en la Una al Día de BackSwapuna variante de Tinba, un pequeño (10-50kB) pero sofisticado troyano bancario que implementa algoritmos de generación de dominios(para la comunicación con el C&C), captura de credenciales de usuario desde formularios o la inyección en diferentes procesos.

Existen múltiples versiones de Backswap, la mayoría tienen como objetivo bancos polacos o monederos de criptomonedas.

Como su nombre indica, el malware “intercambia” (swap) el número de cuenta de la víctima directamente por el de la “mula” que retirará el dinero.

Mediante un ataque MitB (Man-in-the-Browser), el atacante intercambia los números de cuenta inyectando código JavaScript directamente en la consola del navegador. Todo ello sin que la víctima se de cuenta.

Las últimas muestras encontradas han ampliado sus objetivos y apuntan ahora a bancos españoles. En total seis importantes entidades se han visto afectadas por este malware.

Backswap se propaga en campañas de spam, por lo que recomendamos no abrir nunca correos con adjuntos no solicitados. Además de mantener siempre actualizados sus sistemas de seguridad.


Indicadores de compromiso:

  • hxxps://5[.]61[.]47[.]74/batya/give.php
  • hxxps://103[.]242[.]117[.]248/batya/give.php
  • hxxps://mta116[.]megaonline[.]in
  • hxxps://czcmail[.]com (IP: 119[.]23[.]128[.]176)

Muestras recientes:

Más información:
 

BackSwap, el banker que simula ser un usuario

A pesar de que los bankers están perdiendo popularidad, en favor de los malware de minado de criptomonedas, los investigadores de ESET han descubierto una nueva familia de malware bancario que simula las pulsaciones de un usuario para evitar ser detectado.

El malware simplifica el proceso de inyección monitorizando el bucle de mensajes del sistema de ventanas de Windows e inyectando el código en la consola JavaScript del navegador cuando se detecta que el usuario se conecta a la página del banco.

El malware se distribuye mediante campañas de spam dirigidas principalmente a usuarios Polacos, en donde el gancho suele ser la actualización de una aplicación legítima, como TPVCGateway, SQLMon, DbgView, WinRAR Uninstaller, 7Zip, OllyDbg o FileZilla Server.

Estas aplicaciones están modificadas para ejecutar el código malicioso contenido en la función _initterm(), que es la que inicializa los punteros y variables antes de la ejecución del ‘main()’. Esto dificulta la detección, al no verse ningún comportamiento anómalo al inicio de la ejecución del programa.

Ejecución del código malicioso. Fuente: www.welivesecurity.com

Pero la novedad que introduce esta nueva familia es el procedimiento de inyección, que no utiliza complejos procesos de inyección, ni implementaciones específicas para los distintos navegadores. En lugar de esto, el malware utiliza el bucle de mensajes de Windows para detectar si la víctima está accediendo a la banca electrónica y cargar el código JavaScript malicioso en el navegador. Para ello el troyano guarda en el portapapeles el código y lo pega en la consola JavaScript del navegador simulando las pulsaciones de las teclas CTRL+SHIFT+J (para abrir la consola) CTRL+V y ENTER (para pegar y ejecutar el código) y finalmente la combinación para cerrarla, todo ello sin que la víctima perciba nada más que un pequeño cuelgue del navegador.

En nuevas versiones el malware utiliza la barra de direcciones para inyectar el código malicioso. Simulando también las pulsaciones de un usuario para evitar los mecanismos de seguridad.

Hasta el momento las muestras encontradas están dirigidas a bancos Polacos, pero como siempre, desde Hispasec recomendamos no abrir correos con adjuntos no solicitados o no confiables.

Algunos IOCs: