S21sec detecta una nueva campaña de malware financiero

S21sec ha detectado una campaña de malware diseñada para comprometer a clientes de entidades financieras españolas. Concretamente, los clientes reciben un correo de su banco solicitándoles la devolución de un dinero cargado en su cuenta que no le corresponde. En realidad, no es el banco el que lo solicita, sino que se ha modificado la web de la entidad bancaria para que aparezca un saldo mayor al del usuario, y la supuesta devolución no es tal, sino que el usuario realiza una transferencia desde su cuenta a otras cuentas bancarias por medio de transferencias fraudulentas automáticas (ATS).
Una de las principales vías de distribución de esta nueva familia de malware, que está basada en un código de un malware conocido como “URLZONE”, se lleva a cabo a través del envío de un correo acompañado de un archivo adjunto con extensión “.pdf.exe” comprimido en un archivo denominado “factura-xxxx.pdf.zip“. Una vez realizada la infección, este malware utiliza una inyección de código "html" en tiempo real para engañar al usuario cuando este accede a la banca electrónica de su entidad.
Este tipo de malware emplea técnicas como el sistema DGA (Algoritmo de Generación de Dominios), que consiste en generar periódicamente gran cantidad de dominios aleatorios para dificultar el cierre de la botnet. S21sec ha comprobado que la afectación es similar a botnets específicas de otras familias de malware como Tinba, Kins, Pykbot y Xswkit y que posiblemente, sean operadas desde una misma banda cibercriminal usando las mismas inyecciones y alquilando los ATS.
“Queremos alertar a nuestros clientes del funcionamiento de este nuevo malware que está teniendo mucha repercusión en nuestro país”, comenta Xabier Michelena, CEO de S21sec, que recomienda a los usuarios avisar a su entidad financiera en caso de que se les solicite realizar tal devolución o rectificación.