El programa malicioso prilex está de vuelta una vez más en tres nuevas versiones. El malware ha ido evolucionando lentamente desde un enfoque centrado en cajeros automáticos hacia un punto de venta modular. (PoS) el malware. El actor de amenazas brasileño que está detrás ha llevado a cabo “uno de los mayores ataques a cajeros automáticos del país, infectando y robando más de 1,000 máquinas,” según un nuevo informe de Secure List.
Adicionalmente, el malware clonado con éxito al menos 28,000 tarjetas de crédito utilizadas en los mismos cajeros automáticos antes del ataque. La última versión de Prilex es capaz de generar EMV (Europay, Tarjeta MasterCard, y Visa) criptogramas que VISA introdujo en 2019 como sistema de validación de transacciones contra el fraude en los pagos.
Evolución del software malicioso Prilex
El malware ha sido desarrollado utilizando Visual Basic 6.0 idioma, y ha sido creado para secuestrar específicamente aplicaciones bancarias para robar información confidencial de los usuarios de cajeros automáticos. El malware PoS comenzó como un simple raspador de memoria y evolucionó hasta convertirse en una pieza muy avanzada y compleja..
Sus últimas versiones son capaces de manejar el protocolo de hardware del teclado PIN en lugar de usar API de nivel superior, Kaspersky dijo. Además, el malware puede realizar parches en tiempo real en software específico, enganche las bibliotecas del sistema operativo, manipular las respuestas, comunicaciones y puertos, y generar criptogramas para sus llamadas transacciones GHOST.
Las últimas versiones de Prilex se diferencian de las anteriores en la forma en que se produce el ataque.: el autor de la amenaza ha pasado de los ataques de reproducción a transacciones fraudulentas utilizando criptogramas generados por la tarjeta de la víctima durante el proceso de pago en la tienda, denominado por los autores de malware como transacciones "GHOST", el informe explicado.
“En estos ataques, las muestras de Prilex se instalaron en el sistema como ejecutables RAR SFX que extrajeron todos los archivos necesarios en el directorio de malware y ejecutaron los scripts de instalación (archivos VBS),”Dijeron los investigadores. De los archivos instalados, destacaron tres módulos utilizados en la campaña: una puerta trasera, un módulo ladrón, y un módulo de carga.
¿Cómo ocurre un ataque de malware Prilex??
El ataque se basa en ingeniería social bien pensada y recuerda al soporte técnico falso.. en un escenario, se inicia con un correo electrónico de phishing selectivo que se hace pasar por un técnico de un proveedor de PoS, instar al destinatario a actualizar su software PoS. Después de esta interacción, los ciberdelincuentes envían un técnico falso al edificio de la organización objetivo para instalar una actualización en las terminales de punto de venta. Por supuesto, la actualización es maliciosa.
Otra versión del ataque redirige a la víctima para que instale la herramienta de acceso remoto AnyDesk. Una vez concedido este acceso, el firmware PoS se reemplaza con una versión maliciosa. La última variante de Prilex admite una puerta trasera, un ladrón, y un cargador, cada uno de los cuales tiene varias actividades para realizar.
“El grupo Prilex ha demostrado un alto nivel de conocimiento sobre transacciones con tarjetas de crédito y débito, y cómo funciona el software utilizado para el procesamiento de pagos,” los investigadores dijeron. El éxito del grupo ha motivado el surgimiento de nuevas familias creando un gran impacto en la cadena de pago.
Milena Dimitrova
Un escritor inspirado y administrador de contenido que ha estado con SensorsTechForum desde que comenzó el proyecto.. Un profesional con 10+ años de experiencia en la creación de contenido atractivo. Centrado en la privacidad de los usuarios y el desarrollo de malware, ella cree firmemente en un mundo donde la seguridad cibernética juega un papel central. Si el sentido común no tiene sentido, ella estará allí para tomar notas. Esas notas pueden convertirse más tarde en artículos! Siga Milena @Milenyim
Sígueme: