Cibercriminoso brasileiro oferece trojan as a service –
São Paulo, julho de 2016 – A Trend Micro – empresa especializada na defesa de ameaças digitais e segurança na era da nuvem – acaba de mapear no mercado de ofertas do sub-mundo digital brasileiro, malware do tipo Cavalo de Tróia bancário com infraestrutura completa e totalmente funcional, que podem ser alugados pelos usuários.
Uma ameaça em especial, chamou a atenção da Trend Micro: um dos criminosos que atende pelo codinome "Ric", cobra R$ 2000,00 por cada 10 dias de uso do Trojan. O serviço inclui um console abrangente, altamente capaz e bem concebido e um método que dribla as etapas adicionais de autenticação utilizadas pelos bancos no Brasil.
A descrição do canal contém mais informações: "Aluguel de Trojans bancários ou venda de código-fonte, mais de 9 bancos suportados, versão 2016."
Três vídeos analisados pela Trend Micro, mostram diferentes aspectos do Trojan bancário; juntos, eles têm quase 1.000 views. Cada um contém um link que direciona para uma página com métodos de pagamento. De acordo com a Trend Micro, é provável que Ric trabalhe por conta própria e não faça parte de uma organização maior. Além disso, ele divulga também o seu nome de usuário do Skype para que os clientes interessados ​​possam negociar com ele.
Uma tabela com todos os bancos "suportados" também é fornecida:
O Trojan bancário em si;Um loader para carregar o Trojan nas máquinas infectadas;
1. Uma vez que o Trojan é instalado, o atacante tem domínio sobre a máquina da vítima;
2. Quando o site do banco é acessado, o atacante recebe um aviso (que pode ser enviado até mesmo por SMS);
3. O atacante, em seguida, começa a observar a tela do computador da vítima, esperando que ela faça o login em sua conta bancária;
4. Depois disso, é bloqueada a tela da vítima e a mensagem faz com que a vítima pense que o site do banco está lhe pedindo para esperar;
5. O atacante assume o controle da máquina da vítima e começa uma transferência de dinheiro ou realização do pagamento de contas;
6. Quando o site do banco pede o token para o atacante, uma janela falsa aparece, fazendo a vítima acreditar que ela precisa digitar o token para continuar, mas na verdade, será entregue ao atacante.
A Trend Micro tem poucas pistas sobre o perfil de Ric, o que pode ser afirmado é que seu "trabalho" é de alta qualidade. Tudo é codificado a partir do zero e, às vezes, packers (compressores de executáveis) são usados ​​para proteger seus arquivos. Algumas amostras também foram assinadas com certificados para tentar contornar softwares de segurança.