PiceBOT. Nuevo crimeware azota a usuarios bancarios de América Latina

La creación de crimeware en América Latina, específicamente desarrollado desde México o Perú, ya no es una novedad. Sin embargo, esto no significa que las maniobras delictivas hayan disminuido sino todo lo contrario; generan nuevas vetas con intenciones maliciosas para muchos aspirantes a delincuentes.

Es así que cada tanto algún programador malintencionado intenta crear su estructura de negocios delictivos a través del lanzamiento de un nuevo crimeware. El siguiente texto habla sobre uno de ellos. Un nuevo crimeware llamado PiceBOT que se ha liberado para la comunidad delictiva de América Latina.

El texto original fue escrito bajo investigaciones, que aún continúan, realizadas para Kaspersky Lab. Cualquier pregunta, comentario y/o sugerencia siempre es bienvenida.

Luego de la masificación de las populares botnets latinoamericanas vOlk (México) y S.A.P.Z (Perú), se suma al escenario underground de ésta región PiceBOT, cuyo costo en el mercado clandestino ronda los $ 140.

Al igual que otros crimeware de éste estilo, su objetivo principal es la distribución de malware específico para el robo de información financiera a través ataques de pharming local (modificación arbitraria del archivo host). A pesar de su reciente aparición (menos de un mes) ya ha sido adoptada por los ciberdelincuentes de LatAm para atentar contra usuario bancarios de importantes entidades bancarias. Hasta el momento hemos registrado ataques de phishing generados y administrados a través de ésta botnet para Chile, Perú, Panamá, Costa Rica y Argentina. La siguiente imagen, obtenida desde un foro underground, muestra algunos ejemplos:

Desde el punto de vista técnico comparte muchas similitudes con los códigos maliciosos propagados a través de vOlk y S.A.P.Z, que iremos compartiendo en los próximos días. Sin embargo, aún no está claro desde qué país de Latinoamérica es, pero algunos indicios indican que podría tratarse de un crimeware de origen guatemalteco, mexicano o peruano. Otra interesante característica que se distingue respecto a los otros crimeware de LatAm es su proceso simple de autenticación que solo necesita contar con un solo factor: la contraseña de acceso al panel de administración.

Además, el ciclo de propagación descarga en primera instancia un Dropper que se encargará de establecer la primera comunicación clandestina con el C2 (panel de Comando y Control) enviando a la botnet parámetros de interés para los delincuentes informáticos. Luego descargará otra pieza de malware desde la URL configurada en “url_des.txt” y modificará vía web la información contenida en el archivo hosts a través de los parámetros establecidos desde el “toma.php”.

Hasta el momento hemos detectado al menos un par de docenas de variantes del malware gestionado a través de PiceBOT que son detectadas por Kaspersky Lab de forma genérica como Trojan-Dropper.Win32.Injector y su distribución geográfica se concentra, por el momento, en los países anteriormente mencionados.

Claro está que Latinoamérica se ha transformado en un mercado muy competitivo y muy preciado para los delincuentes informáticos de la región y fuera de ella también, debido, en parte, a la falta de madurez en materia penal.

En el particular caso de PiceBOT, en su poco tiempo de vida ha alcanzado una tasa de éxito importante entre la comunidad delictiva “regionalista” que lo adoptan por encima del crimeware desarrollado en Europa del Este. Tal vez los tres puntos más importantes que consideran los delincuentes informáticos que prefieren el uso de crimeware local sean: en primera instancia, el bajo costo comparado con los desarrollos Europeos que superan los 1000 dólares estadounidenses en la mayor parte de los casos. En segundo lugar la facilidad de uso ya que solo se limitan al phishing como estrategia de ataque final y en tercero el Retorno de Inversión (ROI) casi inmediato que obtienen ya que a pesar del empleo de técnicas triviales que se potencian con maniobras de Ingeniería Social visual la tasa de infección a través de éstos códigos maliciosos es muy alta, fundamentalmente, por la falta de conciencia de los usuarios.

La versión en inglés puedes encontrarla en http://www.securelist.com/en/blog/208194103/New_crimeware_attacks_LatAm_bank_users