Un viejo conocido del malware ATM está de vuelta con nuevas y avanzadas características. Ploutus, una de las familias de malware ATM más sofisticadas que existen, fue descubierta en México en 2013. Diseñado para el jackpotting en ATM (técnica utilizada para robar grandes cantidades de dinero en metálico sin tener que usar ninguna clase de tarjeta de crédito o débito), Ploutus ha sido ampliamente usado en los últimos años, dirigiéndose a cajeros automáticos de la firma NCR.
Una nueva variante de Ploutus, denominada Ploutus-D, ha sido descubierta recientemente por los investigadores de FireEye. Aunque su modus operandi es idéntico al de sus predecesoras, la mayor novedad de Ploutus-D radica en que ahora utiliza componentes de Kalignite, un software de KAL para cajeros automáticos (ATM, por sus siglas en inglés) que se ejecuta en más de 40 fabricantes diferentes de ATM.
Los componentes de Kalignite permiten a Ploutus-D abusar de la capa XFS (extensiones para servicios financieros, por sus siglas en inglés) para conseguir el completo control ilegítimo de los dispositivos hardware del ATM como el dispensador, el lector de tarjetas o el teclado. Hasta ahora, se ha observado que las muestras de malware se dirigen a cajeros de la firma Diebold. No obstante, esta nueva tecnología permitiría al malware diversificar sus objetivos y dirigirse a múltiples fabricantes en un futuro cercano.
Los ciberdelincuentes podrían haber obtenido acceso al software de KAL mediante el robo de ATM físicos de los bancos (una táctica criminal ampliamente utilizada en Latinoamérica) o incluso mediante su compra a revendedores autorizados. Otras características novedosas de Ploutus-D son una interfaz gráfica renovada, una ofuscación más robusta y un nuevo packaging con un launcher que trata de identificar y eliminar soluciones de seguridad.
Ploutus-D es sólo un ejemplo más de que el malware ATM es un tema de actualidad y una gran preocupación para el sector bancario en los últimos tiempos, con un número de ataques que crece rápidamente y que se dirige a todo tipo de países y regiones.
Todo cajero está expuesto a ataques de ‘malware’ ATM y, por ello, la aplicación de contramedidas robustas y eficientes se convierte en una necesidad básica e innegociable
Analizando Ploutus-D
Ploutus-D permite a un atacante dar instrucciones al ATM para dispensar dinero sin la necesidad de una tarjeta de crédito o débito. Ploutus-D requiere acceso físico al cajero para proceder a la infección y controlar el malware y utiliza los componentes del software multifabricante Kalignite para tomar el control del dispensador del ATM y su teclado a través de la capa XFS estándar. Así funciona el ataque de jackpotting de cajeros con Ploutus-D:
- Los ciberdelincuentes consiguen el acceso físico al núcleo de la CPU del ATM rompiendo la fascia o mediante el uso de llaves.
- Una vez han logrado el acceso físico, consiguen entrar a los puertos USB o a la unidad de CD-ROM para infectar el ATM con el malware. Al mismo tiempo, conectan un teclado estándar para poder operar.
- Ploutus-D contiene un ejecutable (AgilisConfigurationUtility.exe) y un launcher (Diebold.exe). El ejecutable puede lanzarse como aplicación independiente o como servicio instalado por el launcher, siendo controlado desde el teclado.
- Ploutus-D se ejecuta en segundo plano esperando una combinación de teclas para su activación y toma de control del ATM. Más tarde, despliega un GUI personalizado que solicita un código de autorización para garantizar el control de la mula.
- Si se otorga la autorización, Ploutus-D muestra detalles de la cantidad de dinero disponible en cada cajetín y usa componentes XFS de Kalignite para interactuar con el dispensador de ATM, permitiendo así al ciberdelincuente lanzar múltiples comandos de dispensación de dinero hasta dejar el cajero sin efectivo (cash-out).
- Los códigos de activación y dispensación se pueden enviar a Ploutus-D desde el teclado estándar conectado por el ciberdelincuente o desde el propio pin pad del ATM.
- Por último, una vez se ha completado la acción de cash-out, Ploutus-D posibilita llevar a cabo un mecanismo de limpieza por el cual se elimina cualquier rastro del ataque.
Medidas de seguridad
Los ataques de malware son una de las mayores preocupaciones en lo que a fraude de cajeros se refiere. Todo cajero está expuesto a ataques de malware ATM y, por ello, la aplicación de contramedidas robustas y eficientes se convierte en una necesidad básica e innegociable. En el caso de Ploutus-D, se podría abortar el ataque en la fase de infección mediante el bloqueo de los dispositivos USB o teclados (protección hardware) y cifrando el disco duro (full disk encryption) para impedir su manipulación desde un sistema de arranque externo.
Aun suponiendo que el ATM hubiese sido infectado, todavía se podría parar el ataque mediante el uso de application whitelisting, una capa de protección que impediría ejecutar el launcher (Diebold.exe) y el propio malware (AgilisConfigurationUtility.exe).
Además, resulta fundamental estar siempre vigilante y monitorizar de forma continua la red de cajeros ante actividades sospechosas, como las desconexiones o los reinicios, así como tener la capacidad de reaccionar de forma rápida y remota para identificar y desinfectar los ATM comprometidos.
Actualmente, existen soluciones adaptadas a las necesidades de la industria financiera y productos que permiten gestionar la seguridad de las redes de cajeros. Es importante contar con servicios de seguridad avanzados y especializados para la lucha contra el fraude de bancos e instituciones financieras, como sucede con S21sec. La compañía es miembro, además, de entidades del sector como ATM Industry Asociation (ATMIA) o la Asociación Latinoamericana de Operadores de Servicios de Transferencia Electrónica de Fondos e Información (ATEFI).
