RSA, la División de Seguridad de EMC, presentó su informe sobre fraude para 2015, con detalles de los hallazgos del cibercrimen. Resalta como conclusión que desde fines de 2014, cada vez son más las campañas de malware en archivos adjuntos a correos electrónicos, utilizando documentos Word y archivos PDF como medio de ataque con macros que descargan los archivos infectados.
RSA informó sobre las aplicaciones troyanas incorporadas en documentos Word, disfrazadas como archivos adjuntos PDF y que se implementan no bien la víctima hace clic en el vínculo de archivo incorporado.
Investigando esta tendencia, los analistas de inteligencia de FraudAction descubrieron recientemente una hoja de cálculo de Excel en libre circulación que contiene una serie de supuestas imágenes JPEG como “archivos adjuntos” dentro de la hoja de datos. La hoja de datos, distribuida como un archivo denominado “chika”, contiene archivos adjuntos e incluye botones de activación para abrirlos. Una vez que se hace clic en uno de los botones, aparece un mensaje que le solicita a la víctima que habilite las macros en Excel. Cuando se habilita la macro, se activa la comunicación con un servidor y se descarga el archivo infectado que instala la aplicación troyana Pony Stealer en el equipo de la víctima.
Pony Stealer roba información programada para robar contraseñas de aplicaciones comunes como las de mensajería instantánea, los clientes FTP, los navegadores de Internet, los clientes de correo electrónico y las claves de CD de Windows. El malware roba todos los conjuntos de credenciales de formularios de envío, incluidos los utilizados en portales de operaciones bancarias en línea, como parte de su robo de datos de rutina. Pony Stealer también actúa como cargador de otro malware, descargando e implementando troyanos bancarios para facilitar el robo de credenciales financieras e información de operaciones bancarias en línea. Se suelen encontrar en los mismos servidores C&C en los que está implementada una botnet Zeus.
Pese a que los elementos y kits de explotación se encuentran en circulación desde hace ya bastante tiempo, últimamente los medios de noticias de seguridad de la información han estado reportando nuevas modalidades que aprovechan las vulnerabilidades de Adobe Flash Player.
Un kit de explotación es un conjunto de herramientas que automatiza el aprovechamiento de vulnerabilidades en el cliente. Estos kits aprovechan vulnerabilidades de las aplicaciones de software de las computadoras de los usuarios finales, generalmente para propagar malware. Los kits de explotación suelen apuntar a navegadores y programas que un sitio web puede referenciar. Entre los objetivos más comunes de los últimos años, se encuentran vulnerabilidades detectadas en Adobe Reader, Java Runtime Environment y Adobe Flash Player.
La mayoría de los proveedores de software distribuyen parches y actualizaciones no bien se detectan nuevas vulnerabilidades, pero depende de los usuarios finales y los administradores del sistema garantizar que se apliquen. Al menos un tercio de todas las explotaciones activas en la actualidad se documentaron en 2010, y el hecho de que sigan en uso indica que las personas no han actualizado el software de la computadora ni aplicado parches que están disponibles desde hace 4 años o más.
Los analistas de inteligencia de RSA FraudAction detectaron recientemente una serie de proveedores en el entorno clandestino que ofrecen información personal y credenciales para el Reino Unido; como fechas de nacimiento, información y escaneos de pasaportes, conjuntos completos de información personal y “fullz” (datos completos de tarjetas de crédito robados junto con información de identificación personal). Estos recursos ayudan al estafador a realizar transacciones fraudulentas que implican ingeniería social, para sortear medidas de autenticación y autorización y lograr su objetivo de sacar dinero de los datos de tarjetas de crédito robado y de las cuentas en línea expuestas.
Los analistas de inteligencia de FraudAction descubrieron un par de guías en el entorno clandestino sobre cómo estafar sitios de apuestas en línea. Una se publicita como un folleto de 48 páginas con un costo de 200 dólares. La otra es un conjunto informal de consejos y trucos. Aunque estas guías ya tengan al menos 2 años, algunos de los consejos del ejecutor de la amenaza aún pueden ser pertinentes para los defraudadores, por ejemplo:
– Las mejores son las salas de juego en línea europeas, ya que aceptan prácticamente cualquier información personal substituta del titular de la tarjeta de crédito, por ejemplo, nombre y dirección.
– Los mejores países para realizar fraude de casinos en línea son: España, Francia, Alemania, Austria, Italia y Finlandia.
– Los países problemáticos son : Estados Unidos, Reino Unido y Canadá.
– El ejecutor de la amenaza enumera algunos sitios de póker en línea que aceptan tarjetas de crédito de Estados Unidos: SportsBook Poker, PlayersOnly Poker, Carbon Poker, Poker Stars, Bodog Poker, Only Poker, Super Book Poker, Full Tilt.
– Siempre revise que la tarjeta que utilice siga siendo válida y que tenga suficiente saldo disponible.
– Se recomiendan las salas de apuestas en línea con un límite superior a 600 dólares, ya que es más probable que pierda en salas con un límite inferior.
El ejecutor de la amenaza también proporciona consejos detallados sobre cómo administrar cuentas en las salas de póker en línea, cómo depositar y retirar fondos y cómo transferir fondos entre cuentas.
En su último comentario, el ejecutor de la amenaza le recuerda a sus pares que la mayoría de los sitios de juegos tienen una vulnerabilidad o punto débil de algún tipo, y que encontrarlo y aprovecharlo depende de ellos.
Compartir nota:
