Es la primera vez que esta táctica se utiliza en la región y su propósito es propagar malware bancario. Cibercriminales brasileños burlan detección añadiendo un prefijo a archivos ZIP.
No es novedad que cibercriminales brasileños intenten diferentes formas para engañar a los usuarios, pero no siempre lo hacen a través de nuevas técnicas. En esta oportunidad, recurrieron a una táctica de hace algunos años.
Método BOM: Cibercriminales brasileños burlan detección añadiendo un prefijo a archivos ZIP
Kaspersky Lab acaba de identificar una campaña de malware bancario utilizando el método BOM para burlar los escáneres de correo electrónico e infectar a las víctimas. Es la primera vez que esta técnica se utiliza en la región, y está dirigida especialmente a usuarios en Brasil y Chile. Los usuarios de los productos de Kaspersky Lab están protegidos de este ataque.
Primero utilizada por criminales rusos para distribuir malware en sistemas Windows, esta técnica fue descubierta en 2013 y consiste en añadir el prefijo BOM (Byte Order Mark) para evitar la detección de algunos tipos de archivo. La campaña depende casi enteramente de ataques estilo spear-phishing para aumentar el número de víctimas. El desafío es burlar a los analizadores de correo electrónico y usar un archivo aparentemente corrupto, pero infectado, para llegar a la bandeja de entrada de la víctima.
El primer indicador
Aparece cuando el usuario intenta abrir el archivo ZIP con el explorador predeterminado de archivos y obtiene el siguiente error:
Al intentar abrir el archivo comprimido utilizando el visor predeterminado del Explorador de Windows, el usuario verá un mensaje de error que indica que está dañado. Al analizarlo, los expertos de Kaspersky Lab percibieron que el encabezado ZIP contiene tres bytes adicionales (0xEFBBBF), que representan el BOM, antes de la firma “PK” (0x504B), el estándar del ZIP. El BOM usualmente se encuentra en archivos de texto con codificación UTF-8. El punto es que algunas herramientas no reconocen este archivo como un ZIP, sino que lo identificarán como un archivo de texto y no podrán abrirlo.
Algunas utilidades como WinRAR y 7-Zip simplemente ignoran el prefijo y extraen su contenido correctamente. Una vez que el usuario extrae el archivo con cualquiera de estas utilidades, este se ejecuta e infecta el sistema.
Malware extraído con éxito a través de WinRAR
Después de ejecutar
Una secuencia de procesos que buscan evitar la detección de las acciones maliciosas, se descarga el malware principal: variantes de un malware bancario con funciones de RAT que queda latente en el equipo de la víctima hasta cuando el usuario intente acceder a su banca por Internet. En ese momento, comenzará a capturar tokens, código de acceso, fecha de cumpleaños, contraseña de acceso, entre otras formas de autenticación bancaria.
Identificamos una campaña maliciosa que utiliza el método BOM contra usuarios de banca brasileños y chilenos. Es común que los cibercriminales intenten distintas formas de atacar a sus objetivos, mientras pasan inadvertidos, pero en este caso recurrieron a un método que data de hace años. Únicamente aquellos usuarios que cuentan con una solución de seguridad robusta están a salvo”, afirma Santiago Pontiroli, analista de seguridad de Kaspersky Lab.
Para más información, consulte Securelist.lat.
Todas las soluciones de Kaspersky Lab son capaces de extraer y analizar archivos comprimidos que contienen Byte Order Mark, además de identificar y bloquear los programas maliciosos usados en esta modalidad de ataque.
Acerca de Kaspersky Lab
Kaspersky Lab es una compañía mundial de ciberseguridad que celebra más de 20 años de trayectoria en el mercado. La amplia experiencia de Kaspersky Lab en inteligencia de amenazas y seguridad se transforma constantemente en soluciones de seguridad y servicios de vanguardia para proteger a empresas, infraestructura crítica, gobiernos y consumidores de todo el mundo. La amplia cartera de seguridad de la compañía incluye una destacada protección de endpoints y numerosas soluciones de seguridad y servicios especializados para combatir las amenazas digitales más avanzadas y en evolución. Más de 400 millones de usuarios están protegidos por las tecnologías de Kaspersky Lab y ayudamos a 270,000 clientes corporativos a proteger lo que más valoran.
