El infame Carbanak Banca troyano que robó más de $1 millones de dólares de los organismos financieros mundiales está activo de nuevo. Los investigadores de seguridad en Csis.dk lograron aislar un binario con signo que luego resultó ser una nueva muestra de Carbanak, también conocido como Anunak.
Carbanak es una verdadera pesadilla para los bancos. Kaspersky Lab apodado el ataque Carbanak 'el gran robo del banco'. Análisis realizado por especialistas de Kaspersky e ICS reveló que el troyano ha regresado y está dirigido empresas en Europa y Estados Unidos. Los ataques se inician a través de estafas de phishing.
VirusTotal ha analizado un archivo malicioso asociado con Carbanak. Echa un vistazo a la Carbanak informe de análisis.
Qué hay de nuevo con el Nuevo Carbanak Variant?
Uno de los fascinantes hechos acerca Carbanak 2.0 es el hecho de que está firmado digitalmente. Este fue encontrado en una de Windows afectado 7 sistema en la siguiente ubicación:
→
C://Programa // // DataMozilla svchost.exe. Ubicación en Windows XP: C://Documents and Settings // // Todos los usuarios de datos de aplicación // Mozillasvchost.exe
También agrega un runkey en el registro para asegurarse de que el código se ejecuta cuando se reinicia el sistema.
Los investigadores CSIS confirman que la carpeta y el archivo son estáticos y pueden emplearse como un indicador de compromiso. Un indicador de compromiso es un artefacto situado en una red o en una sola máquina que indica de forma confidencial una infección de la computadora.
NOTA que Carbanak inyecta en el proceso de svchost.exe. También logra ocultar su presencia en el recuerdo.
Carbanak también está diseñado para utilizar plugins. Se instalan con la ayuda del protocolo de Carbanak y comunicarse con una dirección IP no modificable a través del puerto TCP 443. Los plugins descargados con éxito durante el análisis del equipo Csis eran wi.exe y klgconfig.plug.
Las diferencias entre la vieja y la nueva versión de Carbanak son:
- Se agregan nuevas metas.
- Se utiliza un nuevo protocolo propietario.
- Se utilizan los archivos al azar y exclusiones mutuas.
- Se utilizan direcciones IP predefinidas, en lugar de dominios.
Estas diferencias a un lado, los binarios de las dos versiones son casi los mismos. Curiosamente, el servidor de mando y control de la nueva muestra puede estar vinculado a una empresa de alojamiento a prueba de balas familiarizado.
Firma Digital de Nueva Carbanak
Como ya se ha indicado, el nuevo Carbanak está firmado digitalmente utilizando Comodo. Este hecho puede dar lugar a varias conclusiones. Ante todo, el espacio entre las fechas en que la empresa fue registrada, y un certificado fue emitido puede indicar que los ciber ladrones más probable registrado su propia empresa. Para hacer eso, pueden haber utilizado la identidad robados o documentos falsos.
Otra explicación es que el equipo de la piratería ha registrado una empresa real en lugar de emplear un certificado robado (Al igual que con la versión antigua). La razón por la que la compañía fue creada en el primer lugar puede ser la de recibir dinero de las transacciones forjadas. Como se ha señalado anteriormente por Kaspersky, Transacciones Carbanak son muy importantes y necesitan un control total sobre el proceso de transferencia.
Organizaciones financieras globales, especialmente los situados en Europa o los EE.UU., puede ser un gran peligro ya que Carbanak actúa de una manera estrictamente dirigido. Además, puede pasar inadvertida, ya que se está desplegando en pequeñas cantidades. Además, puede haber nuevas variantes aún más de la planificación Carbanak para atacar a las grandes empresas.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: