Alerta por el ataque de un sofisticado troyano bancario

ebloh es un troyano que se propaga a través de lo que se denomina "drive-by-download techniques" (técnicas de descarga), pudiendo ser capaz, incluso, de infiltrarse en las páginas web legítimas y esconder en ellas trampas insólitas. Los usuarios incautos que utilizan navegadores que no están parcheados u otro software que no esté debidamente actualizado, son infectados con tan sólo visitar dichas páginas.

Rik Ferguson, Analista de Seguridad de Trend Micro, ha estado investigando este troyano y expone a continuación el caso de un usuario de banca online que ha sido víctima de este ataque, en el que una suma importante de dinero ha sido transferida desde su cuenta bancaria a otra de un desconocido situada a cientos de kilómetros.

El usuario afectado se conectó a su banco para realizar unas operaciones desde su domicilio y

todo parecía ir con normalidad hasta que al día siguiente comprobó que una de las transferencias no llegó a su destino. Revisando su cuenta desde el PC de su puesto de trabajo se sorprendió al descubrir la existencia de una transferencia "invisible" de 5.000 euros.

Acto seguido, comunicó el incidente al banco y a la policía. La entidad bancaria cerró su servicio online y comenzó el rastreo del dinero, mientras desde Trend Micro se trabajaba para averiguar qué tipo de malware tenía el usuario en el ordenador de su casa y desde el cual había realizado las operaciones.

Es posible que algunas personas hayan visto publicados informes recientes que hacen referencia a un troyano bancario de "última generación" conocido como Bebloh o URLZone, que es responsable del robo del suficiente dinero como para mantenerse dentro de la cantidad de descubierto posible de las cuentas, ayudando a garantizar el éxito de la transferencia.

El día en que este suceso fue comunicado, una persona en Alemania informó sobre otro incidente. Una mujer había conocido a unas personas en una sala de chats rusa que le ofrecieron 500 euros si realizaba una transferencia. Parte de la cantidad iría a una cuenta en Turquía y el resto a una cuenta en Rusia. El titular de la "cuenta mula" o señuelo era el hijo de esta señora (ella facilitó a los delincuentes de Rusia los detalles de la cuenta de su hijo "porque él todavía tenía cierto margen de descubierto"). Al día siguiente esta persona recibió varias llamadas pidiéndole que enviara el dinero y, dado que ella había dado los datos de su hijo, tenía que acompañarle al banco.

Ambos incidentes estaban relacionados. Cuando llegaron a la entidad, la víctima ya había denunciado el robo, por lo que el banco rechazó cualquier operación para enviar el dinero desde esta "cuenta mula". Incluso estando en el banco, esta mujer seguía recibiendo llamadas. Tan pronto como desde el entidad informaron a las "mulas" que el fraude había sido denunciado y ella transmitió el mensaje a los criminales, las llamadas cesaron. Acto seguido la persona que actuaba como "mula" o cebo denunció a la policía el incidente y su acercamiento a la delincuencia organizada. La víctima de la estafa, por su parte, no puede acceder a su dinero en efectivo hasta que se completen las investigaciones.

La forma de trabajar de Bebloh

Una vez instalado en un equipo, el troyano se conecta a un servidor de control de mando para recibir instrucciones del tipo cuánto dinero robar a la víctima y dónde enviarlo. El troyano es lo suficientemente sofisticado como para ser capaz de determinar con exactitud cuánto dinero se puede extraer de una cuenta sin que se rechace la orden y ocultar que estas transferencias han sido realizadas, es decir, son "invisibles" para la víctima.

Los fondos robados son transferidos a las "cuentas mula", donde los voluntarios han aceptado "procesar los pagos" a cambio de un porcentaje o una pequeña recompensa. Un informe detallado sobre el malware se encuentra disponible en RSA FraudAction Research Labs y en el blog de malware TrendLabs.

Este malware ha aparecido en Alemania, país que durante mucho tiempo ha tenido muy buena reputación en cuanto a la seguridad de la banca online, tal y como aseguraba Rik Ferguson en el blog de Trend Micro en ocasiones anteriores. Alemania utiliza un sistema de números de autenticación de transacción (TAN) para validar los movimientos de dinero. Para evitar este sistema, Bebloh opera dentro del navegador web secuestrando sesiones autentificadas, hasta el punto de falsificar el balance que se muestra al usuario para ocultar todo rastro de sus actividades maliciosas. Se estima que esto genera unas ganancias diarias de unos 12.500 euros.