Emiliano ha publicado una interesante noticia-tutorial sobre
¿Port Knocking... ofuscación o capa de seguridad?, con un enfoque de tutorial que particularmente creo que se echaba de menos en el boletín una-al-día.
El caso es que me comenta que entre el feedback recibido alguien le "recriminaba" que no hablara en el boletín de un troyano bancario que por lo visto hoy ha salido referenciado en Internet, incluso dicen que han comentado algo en Antena3 noticias.
En otras ocasiones, cuando hablamos de troyanos bancarios (deformación profesional, recibimos diariamente entre cientos y miles de troyanos bancarios nuevos en VirusTotal), algunos se quejan de que damos demasiada publicidad o importancia a este tipo de contenidos. Nunca llueve a gusto de todos.
La realidad de lo que vemos día a día, al igual que cualquiera que se dedique profesionalmente al tema, es bastante más cruda e importante que lo puramente anecdótico de un troyano concreto. Por ejemplo, el mismo Emiliano me comentaba que entre los análisis de hoy tenía varios ejemplos más jugosos, donde por ejemplo podíamos acceder al panel de control de la botnet (control sobre los miles de sistemas infectados, estadísticas por países, entidades bancarias afectadas, acceso a los datos capturados, etc).
Ejemplo:
Troyano que lleva infectado a más de 20.000 usuarios, entre ellos se cuentan 2.002 españoles:
Estadísticas por tramo horario de equipos infectados que se han conectado hoy, 28 de enero:
Entre las entidades a las que se dirige, podemos encontrar explícitamente algunas españolas:
A través del panel de control web se puede modificar online la configuración del troyano, que permite inyectar campos en determinadas páginas (por ejemplo para hacer aparecer un campo adicional solicitando la clave de operaciones), hacer capturas de pantalla, robar los certificados digitales de los equipos infectados, redirigir a páginas de phishing, mostrar pop-pups, descargar archivos, etc.
Por ejemplo, al editar uno de los "HTML injections" de BBVA, vemos como han configurado la inyección HTML en su web:
El troyano lleva más de 15 gigas capturados, donde los atacantes pueden buscar fácilmente a través de un interfaz web lo que más les interese (credenciales de determinadas URLs, bancos, etc).
Por ejemplo, buscando TAN (transaction authentication number) de usuarios de entidades alemanas:
Supongo que mostrar este tipo de ejemplos, además de lo anecdótico, sirve para concienciar del problema a los usuarios finales. La realidad sigue siendo mucho más cruda, sólo se suele publicar una minúscula parte de la punta del iceberg, por lo que entre profesionales este tipo de datos ha hecho callo, nos hemos acostumbrado. Y eso, es mala señal.
