Análisis del código fuente del malware CARNABAK (Roba información bancaria)

Recientemente se ha detectado en VirusTotal el código fuente de Carbanak, un malware con el que sus desarrolladores han robado millones de euros

Carbanak es un troyano, de tipo APT (amenaza persistente avanzada), cuyo principal objetivo es proporcionar al atacante una puerta trasera para acceder al ordenador infectado. Para lograr robar una cantidad de dinero tan alta, los desarrolladores han centrado sus esfuerzos en infectar ordenadores de oficinas de entidades bancarias. De esta forma, los trabajadores de dichas oficinas eran infectados y el troyano proporcionaba acceso remoto al equipo y a la red de la oficina.

Una vez dentro de la red, los atacantes podían buscar otros dispositivos conectados. Entre los dispositivos conectados podían encontrar los ordenadores utilizados en los cajeros, a los que podían acceder finalmente a través de vulnerabilidades o fallos en la configuración.

En los últimos días se ha encontrado en VirusTotal el código fuente del malware, probablemente subido por error por los atacantes al intentar subir el malware compilado para comprobar el número de detecciones.

» I have to admit, this @virustotal find is going to be hard for me to top.

This CARBANAK work was in active development when whoopsed to VT ??‍♂️ from RU ?? on 2017-04-19.

kb3r1p.rar
879 files (15.03 MB)https://t.co/XqZVJrgijr

apwmie.rar
24 files (5.93 MB)https://t.co/wgTePTqJdt
— Nick Carr (@ItsReallyNick) April 22, 2019»

En nuestro análisis del código fuente hemos podido comprobar que existe código especifico para controlar el servicio IFobs, un servicio informático utilizado por los trabajadores de las entidades bancarias para gestionar los datos de sus clientes (incluyendo saldo de la cuenta). Entre el código fuente hemos podido ver que este módulo para IFobs permitiría, no solo robar las credenciales de acceso al sistema, sino también interactuar con el sistema para modificar los datos de las cuentas de los clientes (como el saldo).

Para proporcionar acceso remoto al ordenador infectado, hemos podido ver que en el código fuente también se incluyen módulos para iniciar un servidor VNC o RPD en el equipo, de forma que el atacante pueda conectarse al sistema y a partir de ahí pueda analizar el ordenador y la red en busca de servicios interesantes.
Código del módulo VNC

Además de los módulos específicos para el robo de información del servicio IFobs que hemos comentado, el troyano también incluye módulos para la recopilación de información genérica del equipo infectado. Uno de estos módulos es el módulo de ‘keylogger’, que registra las pulsaciones de teclas y el proceso en el que han sido pulsadas.

Se incluye también un módulo llamado ‘FormGrabber’, destinado a interceptar las peticiones HTTP de tipo ‘GET’ y ‘POST’, que además permite la posibilidad de introducir filtros para interceptar únicamente aquellas peticiones que cumple una serie de condiciones, como por ejemplo, que la cabecera ‘Content-Type’ tenga el valor que indica que se trata de una petición que incluye datos de un formulario.

Otros módulos destinados al robo de información del ordenador infectado son los módulos para el robo de ficheros .PST de Microsoft Outlook, que contienen información personal de la cuenta (copias de emails, etc.), y el módulo para la recopilación de servidores proxy configurados en los navegadores Mozilla Firefox e Internet Explorer.

Además de las funcionalidades comentadas anteriormente, este malware también incluye comandos para tomar capturas de pantalla, ejecutar comandos en la consola de Windows, reiniciar el ordenador y “matar” al bot (desinstalando el malware del sistema).

Como hemos podido apreciar, Carbanak es un troyano destinado principalmente a crear una puerta trasera en el sistema que de acceso al atacante para llevar a cabo las acciones maliciosas. Incluye código específico para realizar ataques a entidades bancarias, como hemos podido observar con el módulo de IFobs, además de incluir funcionalidades habituales de un troyano, como los módulos de ‘keylogger’, interceptación de peticiones HTTP o el módulo para recopilar ficheros de Microsoft Outlook.

Para evitar infecciones de malware, desde Hispasec recomendamos no abrir correos electrónicos con ficheros adjuntos, sobretodo si el emisor es desconocido, y tener especial cuidado con los ficheros que abres en tu ordenador, especialmente si es el ordenador del trabajo. Ya que puede ser utilizado como puerta de entrada a la red del trabajo, exponiendo así todos los sistemas conectados a dicha red.

Ver información original al respecto en Fuente>

Mas información al respecto en>

saludos

ms, 25-4-2019