Una nueva configuración del Troyano Dyre persigue a 17 bancos españoles

Al mismo tiempo que los europeos se dirigen a las playas españolas este verano, los cibercriminales que están detrás del exitoso malware Dyre no se toman ni un minuto de descanso. Al contrario, están subiendo la temperatura y han puesto sus ojos en 17 bancos españoles y en diferentes filiales en España de bancos europeos. Los investigadores de IBM Security X-Force han podido analizar un nuevo archivo de configuración del troyano Dyre, tras la distribución de una nueva versión del malware. Se trata de la primera configuración que apunta a un número tan grande de bancos españoles. Las versiones previas sólo incluyeron tres y cinco bancos con base española en la lista de víctimas, seguramente como forma de probar el terreno antes de moverse hacia una fase más agresiva.
El análisis revela que los desarrolladores de Dyre han expandido las capacidades y alcance del malware actualizando sus inyecciones de código, y así llegan a los bancos que están persiguiendo en España. Además de sus objetivos en España, la banda de Dyre ve oportunidades en otros países de habla hispana más allá de la propia España, atacando en Chile, Colombia y Venezuela. Nada de esto resulta sorprendente, dado que el español es la segunda lengua más hablada en el mundo.

Dyre no es una nueva amenaza en Europa. Ya había apuntado a diversos bancos en el continente europeo, dejando fuera solamente a Rusia y a la región de la antigua Unión Soviética. Dentro de Europa, las tasas de infección de Dyre en España ocupan el tercer puesto, después de Reino Unido y Francia.
En números, las compañías españolas registraron pérdidas de 14 billones de euros en 2014. Las ultimas noticias sobre cibercrimen en España relatan el arresto de una banda que logró recaudar 2 millones de euros en llamadas de teléfono fraudulentas a números premium desde teléfonos o tarjetas SIM robados.
IBM ha compartido sus últimos hallazgos sobre Dyre para preparar y ayudar a proteger a los bancos a los que se dirigen estos ataques contra el aumento en riesgos de seguridad.

Acerca de Dyre

Aparentemente Dyre, cuyo nombre proviene de la frase encontrada en su código “I am Dyreza”, empezó a mediados de 2014 como un simple proyecto RAT (Acrónimo en inglés de Troyano de acceso remoto). Aunque inicialmente se dedicaba a captar credenciales cifradas, ha evolucionado de manera rápida y agresiva desde entonces, cambiando tanto su estructura técnica como su metodología criminal. Hoy en día, Dyre es un troyano bancario en toda regla que mantiene en vilo a los profesionales relacionados con la seguridad y a sus víctimas intentando poner remedio.
Dyre es uno de los códigos activos de malware más avanzados en la actualidad dadas sus capacidades multifuncionales y sus constantes actualizaciones, diseñadas para eludir cualquier mecanismo de detección proveniente de un antivirus u otro mecanismo de seguridad estática. Y, al mismo tiempo que desde un punto de vista técnico Dyre resulta interesante por sí mismo, el grupo que está tras él lleva a cabo la investigación más importante hoy en día para profesionales que luchan contra el cibercrimen.
La banda de cibercriminales detrás de Dyre no está compuesta por amateurs. Empezando por su infraestructura, la mano de obra, el conocimiento profundo de los sitios web bancarios y sus esquemas de autenticación, este grupo tiene respaldo de recursos, es experimentado y astuto.
El equipo de Dyre es una “banda privada” y cerrada. Es la denominación que se da a los grupos cibercriminales dueños del crimeware (software criminal específicamente diseñado para la ejecución de delitos financieros), que desarrollan y guardan para sí mismos. No intercambian información en foros underground sobre el fraude, ni comparten conocimiento o hacen preguntas. No venden el malware, y se muestran extremadamente cuidadosos a la hora de incluir nuevos miembros a su banda.
Dyre está relacionado con otros conocidos grupos operativos de malware. La banda tiene conexiones con el programa de descarga Upatre, con la botnet de spam Cutwail, y el exploit kit RIG. Además, ya ha compartido servidores de comunicación con el troyano Feodo (descendencia del ruso Bugat).
Ataques cibercriminales selectivos
Desde sus inicios, la banda de Dyre no se planteó este juego para alcanzar una meta fácil como ocurre normalmente con las bandas más pequeñas relacionadas con el cibercrimen. Este equipo llegó apuntando alto. Y por alto me refiero a dinero corporativo, al menos medio millón de dólares cada vez.
Fueron los laboratorios PhishMe los que a mediados de 2014 hicieron pública por primera vez la operación inicial de Dyre. Hay que tener en cuenta que, por lo general, en el momento en que se descubre un malware, ya lleva funcionando unos cuantos meses. No llevó más de tres meses para que IBM Security empezara a informar de que Dyre apuntaba a las cuentas de Salesforce.com de los bancos americanos más importantes, y que estaba recolectando información de sus clientes.
En ese momento, muchos creyeron que Dyre quería hacerse con los datos para monetizar el espionaje empresarial, pero, cuando IBM descubrió la campaña Dyre Wolf a principios de 2015, las cosas se volvieron nítidas para todos: ataques de transferencias fraudulentas selectivas.
Este fraude selectivo representa un cruce entre ataques APT (acrónimo en inglés de Amenaza persistente avanzada) y ataques de fraude financiero. Los criminales empiezan adquiriendo conocimiento sobre la organización a la que van dirigidos, invierten tiempo y ponen atención en abrir brechas en sus sistemas, y así preparan el terreno para el fraude antes de golpear con una transferencia electrónica ilícita de una gran suma de dinero.
Con el nuevo archivo de configuración específico para España, los bancos españoles y sus clientes corporativos tienen un mayor riesgo de sufrir ataques de transferencias fraudulentas selectivas.
¿Cómo funcionan estos ataques?
Para lanzar estos ataques de transferencias fraudulentas selectivas, Dyre despliega un “equipo SWAT” (acrónimo en inglés de Armas y tácticas especiales) dentro de sus filas. Este equipo especial realiza estas operaciones fraudulentas cuidadosamente mediante llamadas de teléfono realizadas por expertos con las habilidades que la entidad defraudada esperaría de su banco. El fraude puede continuar con un ataque DDoS para asegurarse de que la compañía no pueda volver a conectarse a la cuenta o está ocupada intentando averiguar cómo eludir el ataque.
Dyre, a diferencia del malware avanzado de grado similar, está operado por lo que parece ser un grupo muy bien organizado. La botnet total se divide en secciones, las campañas se marcan con la fecha de lanzamiento y las regiones se separan en diferentes versiones del malware.
Parece que un grupo
F.IBMSecurities