Una nueva configuración del Troyano Dyre persigue a 17 bancos españoles

¿Qué hay de nuevo?

Al mismo tiempo que los europeos se dirigen a las playas españolas este verano, los cibercriminales que están detrás del exitoso malware Dyre no se toman ni un minuto de descanso. Al contrario, están subiendo la temperatura y han puesto sus ojos en 17 bancos españoles y en diferentes filiales en España de bancos europeos. Los investigadores de IBM Security X-Force han podido analizar un nuevo archivo de configuración del troyano Dyre, tras la distribución de una nueva versión del malware. Se trata de la primera configuración que apunta a un número tan grande de bancos españoles. Las versiones previas sólo incluyeron tres y cinco bancos con base española en la lista de víctimas, seguramente como forma de probar el terreno antes de moverse hacia una fase más agresiva. El análisis revela que los desarrolladores de Dyre han expandido las capacidades y alcance del malware actualizando sus inyecciones de código, y así llegan a los bancos que están persiguiendo en España. Además de sus objetivos en España, la banda de Dyre ve oportunidades en otros países de habla hispana más allá de la propia España, atacando en Chile, Colombia y Venezuela. Nada de esto resulta sorprendente, dado que el español es la segunda lengua más hablada en el mundo. Dyre no es una nueva amenaza en Europa. Ya había apuntado a diversos bancos en el continente europeo, dejando fuera solamente a Rusia y a la región de la antigua Unión Soviética. Dentro de Europa, las tasas de infección de Dyre en España ocupan el tercer puesto, después de Reino Unido y Francia. En números, las compañías españolas registraron pérdidas de 14 billones de euros en 2014. Las ultimas noticias sobre cibercrimen en España relatan el arresto de una banda que logró recaudar 2 millones de euros en llamadas de teléfono fraudulentas a números premium desde teléfonos o tarjetas SIM robados. IBM ha compartido sus últimos hallazgos sobre Dyre para preparar y ayudar a proteger a los bancos a los que se dirigen estos ataques contra el aumento en riesgos de seguridad.

Acerca de Dyre

Aparentemente Dyre, cuyo nombre proviene de la frase encontrada en su código “I am Dyreza”, empezó a mediados de 2014 como un simple proyecto RAT (Acrónimo en inglés de Troyano de acceso remoto). Aunque inicialmente se dedicaba a captar credenciales cifradas, ha evolucionado de manera rápida y agresiva desde entonces, cambiando tanto su estructura técnica como su metodología criminal. Hoy en día, Dyre es un troyano bancario en toda regla que mantiene en vilo a los profesionales relacionados con la seguridad y a sus víctimas intentando poner remedio. Dyre es uno de los códigos activos de malware más avanzados en la actualidad dadas sus capacidades multifuncionales y sus constantes actualizaciones, diseñadas para eludir cualquier mecanismo de detección proveniente de un antivirus u otro mecanismo de seguridad estática. Y, al mismo tiempo que desde un punto de vista técnico Dyre resulta interesante por sí mismo, el grupo que está tras él lleva a cabo la investigación más importante hoy en día para profesionales que luchan contra el cibercrimen. La banda de cibercriminales detrás de Dyre no está compuesta por amateurs. Empezando por su infraestructura, la mano de obra, el conocimiento profundo de los sitios web bancarios y sus esquemas de autenticación, este grupo tiene respaldo de recursos, es experimentado y astuto. El equipo de Dyre es una "banda privada" y cerrada. Es la denominación que se da a los grupos cibercriminales dueños del crimeware (software criminal específicamente diseñado para la ejecución de delitos financieros), que desarrollan y guardan para sí mismos. No intercambian información en foros underground sobre el fraude, ni comparten conocimiento o hacen preguntas. No venden el malware, y se muestran extremadamente cuidadosos a la hora de incluir nuevos miembros a su banda. Dyre está relacionado con otros conocidos grupos operativos de malware. La banda tiene conexiones con el programa de descarga Upatre, con la botnet de spam Cutwail, y el exploit kit RIG. Además, ya ha compartido servidores de comunicación con el troyano Feodo (descendencia del ruso Bugat). Ataques cibercriminales selectivos Desde sus inicios, la banda de Dyre no se planteó este juego para alcanzar una meta fácil como ocurre normalmente con las bandas más pequeñas relacionadas con el cibercrimen. Este equipo llegó apuntando alto. Y por alto me refiero a dinero corporativo, al menos medio millón de dólares cada vez. Fueron los laboratorios PhishMe los que a mediados de 2014 hicieron pública por primera vez la operación inicial de Dyre. Hay que tener en cuenta que, por lo general, en el momento en que se descubre un malware, ya lleva funcionando unos cuantos meses. No llevó más de tres meses para que IBM Security empezara a informar de que Dyre apuntaba a las cuentas de Salesforce.com de los bancos americanos más importantes, y que estaba recolectando información de sus clientes. En ese momento, muchos creyeron que Dyre quería hacerse con los datos para monetizar el espionaje empresarial, pero, cuando IBM descubrió la campaña Dyre Wolf a principios de 2015, las cosas se volvieron nítidas para todos: ataques de transferencias fraudulentas selectivas. Este fraude selectivo representa un cruce entre ataques APT (acrónimo en inglés de Amenaza persistente avanzada) y ataques de fraude financiero. Los criminales empiezan adquiriendo conocimiento sobre la organización a la que van dirigidos, invierten tiempo y ponen atención en abrir brechas en sus sistemas, y así preparan el terreno para el fraude antes de golpear con una transferencia electrónica ilícita de una gran suma de dinero. Con el nuevo archivo de configuración específico para España, los bancos españoles y sus clientes corporativos tienen un mayor riesgo de sufrir ataques de transferencias fraudulentas selectivas. ¿Cómo funcionan estos ataques? Para lanzar estos ataques de transferencias fraudulentas selectivas, Dyre despliega un "equipo SWAT" (acrónimo en inglés de Armas y tácticas especiales) dentro de sus filas. Este equipo especial realiza estas operaciones fraudulentas cuidadosamente mediante llamadas de teléfono realizadas por expertos con las habilidades que la entidad defraudada esperaría de su banco. El fraude puede continuar con un ataque DDoS para asegurarse de que la compañía no pueda volver a conectarse a la cuenta o está ocupada intentando averiguar cómo eludir el ataque. Dyre, a diferencia del malware avanzado de grado similar, está operado por lo que parece ser un grupo muy bien organizado. La botnet total se divide en secciones, las campañas se marcan con la fecha de lanzamiento y las regiones se separan en diferentes versiones del malware. Parece que un grupo reducido de "trabajadores" se dedica a cada zona para maximizar los beneficios de cada cuenta capturada. Figura 1: Dyre Wolf – Flujo de sucesos de ataques de transferencias fraudulentas selectivas. Pasos del ataque Dyre Wolf 1) Arpón Phishing: Un empleado de la organización objetivo recibe un correo electrónico con el malware Upatre. 2) Primera fase ejecución del malware: Después de abrir el archivo adjunto, el malware queda instalado. 3) Segunda fase ejecución del malware: Upatre establece comunicación con el atacante y descarga Dyre. 4) La víctima se conecta a la cuenta bancaria objetivo: Problema con su cuenta, llame al banco al teléfono 1-80-XXX. Dyre altera la respuesta desde el sitio web del banco, engañando a la víctima que llama a un número ilegítimo. 5) La llamada de teléfono: Ingeniería social avanzada. Para superar las medidas de protección del banco contra el fraude, los ingenieros sociales de Dyre Wolf obtienen información crítica de la víctima. 6) La transferencia electrónica. Hasta 1.5 millones de dólares se transfieren de manera rápida y eficiente desde la cuenta de la víctima a diferentes cuentas en el extranjero. 7) El DDoS. Inmediatamente después del robo, empieza un gran volumen de DDoS contra la víctima para distraer u ocultar la investigación. Los "trabajadores" que se ocupan de perpetrar diariamente el fraude Dyre trabajan de lunes a viernes, desde la mañana a la noche siguiendo las zonas horarias de EE. UU. Normalmente los fines de semana son periodos de inactividad. Además de los ataques cotidianos de transferencias fraudulentas, Dyre también tiene un "equipo SWAT" criminal dedicado al fraude a lo grande: cuentas bancarias corporativas y transferencias extremadamente elevadas. Estamos hablando de transferencias que pueden empezar con 500.000 dólares y alcanzar hasta 1.5 millones de dólares de una vez. Puesto que estos importantes ataques fraudulentos de una sola vez ocurren en medio de otras campañas más pequeñas y requieren habilidades altamente especializadas, además de una atención especial en tiempo real, creemos que existe una clara separación de tareas dentro de los equipos atacantes. Es probable que este "equipo SWAT" de Dyre sea la facción que está detrás de los ataques de tipo Dyre Wolf. En estos golpes específicos y selectivos, Dyre persigue las cuentas bancarias más importantes, defraudando a las compañías que mueven grandes cantidades de dinero en productos o servicios. Pensemos en organizaciones farmacéuticas, de gas y petróleo o fabricantes, que hacen negocios en el exterior como parte de su trabajo y normalmente pagan grandes sumas de dinero en transferencias SWIFT a países como China. Definitivamente esto no es lo que vemos en un tipo de malware comercial como Zeus, en cada una de sus variantes, ni en código compartido como Bugat y Dridex, o incluso en códigos avanzados medio-públicos, como Tinba y Neverquest. En cuanto a la ubicación, parece que los equipos están localizados en Ucrania y Rusia, según se deduce del patrón de horas de trabajo y de la zona horaria (UTC +2, UTC +3), y del hecho de que, tal como informa Symantec, más del 80{30bfbf8d9f2833f0337133e196b4dc87825dfb7d33a3602d05ee876ecd6f1178} de los servidores Dyre provienen de direcciones IP rusas y ucranianas. ¿Por qué destaca Dyre? A pesar de que Dyre empezó como un código más simple en lo que se refiere a sus capacidades como malware, ahora es un ladrón de información muy potente y una herramienta de inyección sofisticada al navegador. Los investigadores de IBM Security X-Force ven que este proyecto de malware está en evolución permanente. El archivo ejecutable se actualiza constantemente, a veces literalmente cada semana. Las configuraciones se adaptan a la región atacada, la mayoría de las veces la EU y EE.UU. Los desarrolladores de Dyre se ocupan de añadir más capas de evasión y cifrado, características anti-investigación, nuevos trucos anti-sandbox, todos ellos desarrollados a fin de mantener a Dyre oculto y asegurarse de que continúa produciendo cantidades masivas de dinero en efectivo robado que recolecta para sus operadores. Esquemas de inyección en tiempo real de Dyre El poder de Dyre radica en su habilidad para manipular el navegador de internet, sobre la marcha y de manera muy selectiva, de acuerdo con el banco objetivo. Al principio, los operadores de Dyre se esmeraban en la tarea de enviar víctimas a páginas falsas que habían preparado con antelación. Para hacerlo, replicaban literalmente las páginas web de autenticación de los bancos y la página posterior, recordando lo que tratan de hacer los ataques de pharming. Mantenían activa la conexión SSL con el banco, sólo para aparentar legitimidad al usuario y a las herramientas de seguridad en funcionamiento, mostrando que la comunicación actual seguía siendo segura. Este método debe haber sido muy costoso porque, desde entonces, se ha convertido en una implementación de inyección en el navegador. Lo que lo diferencia a Dyre es el hecho de que la configuración de estas inyecciones no se salva localmente en la máquina infectada para ser usada después por el malware según la necesite. Más bien, las inyecciones vienen dictadas por su propio servidor de inyecciones-web, en tiempo real, de manera dinámica, y de forma selectiva según cada URL accedida. Este método permite a Dyre manipular la página mostrada a la víctima de una forma más controlada, pero también mantener todos sus esquemas de configuración tan ocultos como sea posible desde los ojos fisgones de los profesionales de seguridad. Recientes descubrimientos publicados sobre la táctica usada por Dyre provienen de un investigador, Bryan Campbell, analista de inteligencia de las principales amenazas en Fujitsu SOC, que incluyó una entrada en su blog sobre el malware que usaba routers 'secuestrados' para cargar gratis sus comunicaciones con la botnet y ocultarlas. En una conversación online que mantuve con Campbell, teorizamos acerca de las razones de Dyre para hacer esto. La respuesta parece simple: Dyre ha encontrado una forma sencilla de tomar el control de estos routers y funcionar a través de ellos como una capa añadida para ofuscar el tráfico en los ya de por sí complicados esquema de comunicaciones. De acuerdo con su configuración, Dyre opera un servidor dedicado para el tráfico de inyecciones-web, y otros distintos para su C&C y la exfiltración de datos. Para mantener confidencial su botín y eludir las listas negras, Dyre usa I2P para anonimizar sus conexiones. Como mecanismo alternativo, Dyre cuenta con el avanzado Algoritmo de generación de dominios (DGA) para asegurarse de que sus bots puedan comunicar a través de un recurso que cambia dinámicamente.

Estado de la amenaza

Teniendo en cuenta la expansión de Dyre en el mes pasado, los datos de IBM muestran que Dyre ocupa el segundo lugar justo después de Neverquest, que es un malware comercial muy extendido. Resulta interesante que Dyre, un troyano de propiedad privada, sea el segundo troyano más prolífico entre los ataques cibercriminales. Figura 2: Top Ten del malware avanzado más prolífico en los últimos 30 días (IBM Security) Las tendencias de la campaña de infección actual de Dyre muestran que los picos cíclicos son muy típicos de la forma en que la banda disemina el malware a nuevas máquinas y dispositivos. De acuerdo con la nomenclatura de la campaña interna de Dyre, donde los identificadores de campaña llevan el mes y el día en el que se lanzaron, se lanzan nuevos ataques de spam dos o tres veces a la semana, en diferentes países. La figura 3 muestra la tendencia de infección de Dyre en España incluso desde el lanzamiento de la nueva configuración dirigida al ataque de los bancos españoles. Figura 3: Top Ten del malware avanzado más prolífico en los últimos 30 días (IBM Security)

¿Y ahora?

En base a otras campañas de Dyre con las que IBM Security X-Force está familiarizado, esperamos ver que Dyre da especial atención al territorio español. Por lo general, las campañas de infección de amplia diseminación vía correos electrónicos que contienen el malware llevan el cargador de Dyre, el programa de descarga Upatre. La forma más común de spam que usa Dyre son notificaciones de impuestos, facturas o informaciones falsas sobre paquetes como cebo para que los usurarios abran los archivos adjuntos y lancen sin saberlo Upatre, que obtiene y ejecuta Dyre. Las campañas están ligadas al aumento de las tasas de infección en el país y tendrán como resultado un incremento de las transacciones fraudulentas. Nuestros expertos recomiendan que los bancos alerten a sus clientes y refresquen las secciones de seguridad bancaria online en sus sitios web. Los bancos deberían instar a los clientes a que informen de cualquier correo electrónico sospechoso a sus buzones de delitos electrónicos y colaboren estrechamente con su proveedor antifraude para minimizar los riesgos tanto como sea posible. Tanto IBM Security's Trusteer como Emergency Response Services han trabajado con los clientes para estudiar y parar los ataques de Dyre, y los de Dyre Wolf, y pueden servir de ayuda a aquellos bancos que quieran saber más sobre esta amenaza de alto riesgo.