Descubierto en 2009, Skimer fue el primer programa malicioso creado para atacar cajeros automáticos. Siete años más tarde, los cibercriminales están reutilizando este malware, pero tanto los ciberladrones como el programa han evolucionado y esta vez suponen una amenaza mucho más grave para los bancos y sus clientes en todo el mundo.
Skimer se distribuyó ampliamente entre 2010 y 2013, periodo en el que hubo un aumento drástico del número de ciberataques contra cajeros automáticos, con un máximo de nueve familias de malware diferentes identificados por Kaspersky Lab, incluyendo la familia Tyupkin, descubierta en marzo de 2014 y que se convirtió en la más popular y extendida. Sin embargo, ahora parece que Backdoor.Win32.Skimer ha vuelto a la acción. Kaspersky Lab ha identificado 48 modificaciones de este malware, y 37 de ellas van dirigidas a cajeros automáticos. La versión más reciente se descubrió a finales del mes de abril de 2016.
Ladrones misteriosos
Ha sido un reto localizar el inicio de esta actividad. Durante la investigación, el equipo de analistas de Kaspersky Lab descubrió la trama criminal así como rastros de una versión mejorada del malware Skimer en uno de los cajeros automáticos de un banco. El malware había entrado e instalado un comando que se podía activar en el futuro, una forma inteligente para ocultar los rastros.
De hecho, el grupo Skimer había desarrollado un nuevo esquema en el que inicia sus operaciones al obtener acceso al sistema del cajero automático - ya sea a través del acceso físico, o a través de la red interna del banco. Después de haberse instalado con éxito en el sistema, infecta el núcleo del cajero automático - el ejecutable responsable de las interacciones del equipo con las tarjetas bancarias, el procesamiento de efectivo y de crédito. En otras palabras, los cibercriminales obtienen el control total de los cajeros infectados y los convierten en skimmers (su fin es el robo de información de tarjetas de crédito utilizado en el momento de la transacción, con la finalidad de reproducir o clonar la tarjeta de crédito o débito para su posterior uso fraudulento). Al final de la operación, se elimina la infección para que la detección de la actividad maliciosa sea más difícil.
Una vez que un cajero automático está infectado con Backdoor.Win32.Skimer, los ciberdelincuentes pueden llegar a retirar todos los fondos o robar los datos de las tarjetas utilizadas. Existe una gran diferencia entre estas dos operaciones: la retirada de dinero de los casetes se detecta rápidamente, mientras que el malware que roba los datos de las tarjetas puede estar activo por un periodo de tiempo muy largo. Por lo tanto la actividad no es inmediata y son muy cuidadosos ocultando pistas: el malware puede operar en el cajero automático infectado durante varios meses sin realizar ninguna actividad.
Para activarlo, es necesario que un cibercriminal inserte una tarjeta concreta, con registros en la banda magnética. Después de leer los registros, Skimer puede ejecutar el comando codificado, o los comandos de solicitud a través de un menú especial activado por la tarjeta. La interfaz gráfica de Skimer aparece en la pantalla cuando se expulsa la tarjeta y el cibercriminal debe insertar la clave de sesión desde el datáfono en menos de 60 segundos.
Con la ayuda de este menú, el cibercriminal puede activar 21 comandos diferentes, como el de dispensar dinero (40 billetes del casete que se especifica), recogida de datos de las tarjetas insertadas, auto-borrado, actualización (desde el código de malware actualizada incorporado en el chip de la tarjeta), etc. En la mayoría de los casos, los ciberdelincuentes prefieren esperar y recoger los datos de las tarjetas con el fin de crear copias después. Con estas copias se van a un cajero automático diferente, no infectado y retiran dinero de cuentas de los clientes. De esta manera, aseguran que los cajeros automáticos infectados no serán descubiertos a corto plazo.
Utilizando muestras de VirusTotal, Kaspersky Lab ha comprobado que existe una amplia distribución geográfica de los cajeros automáticos que pueden estar infectados. Las últimas 20 muestras de la familia Skimer se cargan desde más de 10 ubicaciones en todo el mundo: Francia, Estados Unidos, Rusia, Macao, China, Filipinas, España, Alemania, Georgia, Polonia, Brasil o República Checa.
Cómo protegerse
Para evitar esta amenaza, Kaspersky Lab recomienda hacer análisis regulares de equipo con el antivirus y usar tecnologías de listas blancas, una buena política de gestión de dispositivos, cifrado de disco completo, proteger las BIOS de los cajeros automáticos con una contraseña que sólo permita el arranque del disco duro y el aislamiento de la red ATM de cualquier otra red interna del banco.
"Existe otra medida adicional importante, aplicable en este caso particular. Backdoor.Win32.Skimer comprueba la información (los nueve dígitos) de la banda magnética de la tarjeta con el fin de identificar si debe activarse. Hemos detectado los números codificados utilizados por el malware y están a disposición de los bancos que lo soliciten. Una vez tengan esos números, los pueden buscar de forma proactiva dentro de sus sistemas, detectar los cajeros automáticos potencialmente infectados y las mulas de dinero, o bloquear cualquier intento de activar el malware", afirma Sergey Golovanov, analista principal de Seguridad de Kaspersky Lab.
Los productos de Kaspersky Lab detectan esta amenaza como Backdoor.Win32.Skimer.
Como esta es una investigación en curso, el informe completo se ha compartido con un público muy concreto: las LEA, CERT, instituciones financieras y clientes de inteligencia de Kaspersky Lab. Para obtener más información sobre esta amenaza y acceso exclusivo al repositorio de todos los informes de Inteligencia de Kaspersky Lab, por favor, contactar con: [email protected].
