ZeuS para móviles : ZeuS-in-the-Mobile, o ZitMo

Hoy en día la banca online se ha convertido en algo cotidiano para muchas personas. Un número cada vez mayor de bancos se esmeran en expandir al máximo el espectro de servicios al que se puede acceder después de darse de alta en el sistema de banca online. Comodidad, velocidad…, parece que todo es positivo. Pero allí donde hay dinero, aunque no sea en forma de billetes reales, siempre habrá estafadores.

Es difícil decir cuándo empezaron los primeros ataques contra los usuarios de la banca online. Pero no es tan importante en este caso. Nos hemos enfrentado a dos tipos de ataques: los que usan métodos de phishing “clásico” y los hechos mediante diferentes programas maliciosos. El blanco inicial de estos ataques eran los medios de identificación del usuario en el sistema de banca online. Es decir, el login y la contraseña. A medida de que se iban perfeccionando los mecanismos de protección de los bancos, también mejoraban los programas maliciosos: los delincuentes informáticos aprendieron a burlar la mayoría de los métodos existentes de confirmación de operaciones de la banca online.

Actualmente los métodos más populares de protección de la banca online son los códigos de autorización, (TAN, transaction authentication number) y la firma digital. En algunos casos, el banco puede enviar los códigos de autorización en mensajes SMS (mTAN, mobile transaction authentication number). Hasta septiembre de 2010 no se habían registrado ataques contra los códigos de autorización de operaciones en teléfonos móviles. En 2009 hubo un par de noticias sobre hackers que hacían compras masivas de teléfonos Nokia 1100 por decenas de miles de dólares, pero no cualquier teléfono, sino sólo aquellos producidos en la fábrica de Bochum, Alemania. Parece ser que estos teléfonos tenían características (¿o más bien vulnerabilidades?) que permitían interceptar todos los SMS, entre ellos los que contenían códigos mTAN. Sin embargo no se registraron casos concretos de captura de datos.

El troyano ZeuS para smartphones (ZeuS-in-the-Mobile, o ZitMo), que apareció a finales de septiembre de 2010 fue el primer programa malicioso para móviles que robaba códigos de autentificación de transacciones bancarias. Es precisamente a este programa malicioso que dedicamos este artículo.

Esquema general del ataque ZitMo
El ZeuS móvil, Trojan-Spy*.Zitmo tiene un solo objetivo: de una forma rápida e inadvertida robar los códigos mTAN. En primer lugar hay que destacar un factor importante: ZitMo funciona en estrecha colaboración con ZeuS. Llamaremos simplemente ZeuS a la modificación del troyano para la plataforma Win32, Trojan-Spy.Win32.Zbot según la clasificación de Kaspersky Lab.

Recordamos que el ZeuS para los PC que funcionan con Windows es conocido desde hace bastante tiempo. Las primeras modificaciones de este programa malicioso aparecieron en el lejano 2007. En el artículo de mi colega Dmitry Tarakanov se puede leer cómo funciona este programa malicioso.

¿Qué pasa si un usuario en cuyo sistema está instalado ZeuS trata de autorizarse en su sistema de banca online? El usuario trata de visitar la página de su banco para autorizarse en el sistema. ZeuS, al darse cuenta de que la víctima visita esta dirección, modifica la página web en el navegador de tal manera que los datos personales que el usuario ingresa para autorizarse no se envían al banco, sino al servidor de administración de la botnet ZeuS.
Esquema general de funcionamiento de ZeuS

Alrededor de septiembre de 2010 los delincuentes agregaron una nueva función a ZeuS. El esquema de su funcionamiento no ha sufrido cambios, pero ahora en la página modificada de autorización, además del login y contraseña, se pide al usuario que indique el modelo de smartphone y escriba su número, supuestamente para renovar los certificados.
Parte de la página de autorización en el sistema de banca online modificada por los delincuentes donde se pide indicar el modelo y número de teléfono. (http://securityblog.s21sec.com/2010/09/zeus-mitmo-man-in-mobile-ii.html)

Los usuarios que enviaban a los delincuentes la información sobre los teléfonos móviles, después de un tiempo recibían en el número indicado un SMS que les pedía instalar un nuevo certificado de seguridad. El “certificado de seguridad” se podía bajar en el enlace indicado en el mensaje SMS. Pero en realidad el certificado era la versión móvil del troyano ZeuS. Si el usuario visitaba el enlace, descargaba e instalaba la aplicación, su teléfono se contagiaba con ZitMo, cuya principal función es enviar a los teléfonos de los delincuentes los mensajes SMS indicados en el cuerpo del troyano.

Desde entonces el esquema de propagación del ZeuS móvil no ha cambiado: los usuarios lo instalan en sus smartphones pensando que se trata de software legítimo.

Los delincuentes que consiguieron robar mediante ZeuS los datos personales que el usuario escribe para ingresar al sistema de banca online e infectaron el smartphone con ZitMo, pueden superar la última línea de defensa del sistema de banca online, mTAN. Usando el login y contraseña del usuario se autorizan en el sistema de banca online y tratan de ejecutar la transacción (por ejemplo, enviar dinero de la cuenta del usuario a su propia cuenta). Para realizar la transacción se necesita una confirmación adicional mediante el código de autorización que el banco envía por SMS al teléfono del cliente. El banco, después de recibir la solicitud del cliente pidiendo la transacción, envía a su teléfono un SMS con el código de autorización. El SMS llega al teléfono infectado por ZitMo, que de inmediato lo envía al teléfono del delincuente, que usando el mTAN robado, confirma la transacción. Mientras todo esto pasa, el cliente del banco no sospecha nada.

El esquema general del ataque es el siguiente:

Con la ayuda de ZeuS el delincuente roba los datos necesarios para obtener acceso a la banca online y el número móvil del cliente del banco.

Se envía un SMS al smartphone de la víctima que le pide instalar una actualización del certificado de seguridad u otro software necesario. En realidad, el enlace del SMS lleva a una versión móvil de ZeuS.

Si el usuario ha instalado este software, es decir, si infectó su teléfono, el delincuente -usando los datos personales robados al usuario- trata de hacer una transferencia de dinero desde la cuenta del usuario, para lo cual es necesario ingresar el código mTAN.

El banco envía un mensaje SMS con este código al smartphone del cliente.

ZitMo envía el SMS con el código de autorización al número de teléfono del delincuente.

El delincuente, mediante el mTAN robado, confirma la transacción.

 Fuente
Los intereados en mas informacion general de otras variantes de este malware, ver  al final de este informe, informaci[on histórica de las mismas.

saludos

ms, 20/6/2012