Prilex é um agente de ameaças brasileiro que evoluiu de ATM para POS | Minuto da Segurança da Informação
Linkedin
Facebook
YouTube
Twitter
Pinterest
Instagram
Home
Notícias
Artigos
Webinar
Leadership
LGPD & PRIVACY
Download
Contate-nos
MindSec
Boletim de Notícias
[ 21/08/2019 ] CrowdStrike é LEADER no Magic Quadrant do Gartner 2019 Artigos
[ 01/12/2022 ] Medidas de proteção de dados pessoais Artigos
[ 01/12/2022 ] Como identificar aplicativos maliciosos nas lojas de apps? Artigos
[ 30/11/2022 ] Violação de dados do Twitter pior do que se pensava Notícias
[ 30/11/2022 ] Fortinet disponibiliza serviço gerenciado de firewall nativo na nuvem AWS Notícias
[ 29/11/2022 ] Hackers violam organizações de energia por meio de bugs em servidor web descontinuado Notícias
01/12/2022
InícioArtigosPrilex é um agente de ameaças brasileiro que evoluiu de ATM para POS
Prilex é um agente de ameaças brasileiro que evoluiu de ATM para POS
30/09/2022 mindsecblog Artigos, Notícias 1
Prilex é um agente de ameaças brasileiro que evoluiu de ATM para POS. O malware evolui do foco em ATM para malware modular de ponto de venda (POS). O grupo estava por trás de um dos maiores ataques a caixas eletrônicos do país, infectando e acumulando mais de 1.000 máquinas, além de clonar mais de 28.000 cartões de crédito usados ​​nesses caixas antes dos assaltos. Mas a ganância dos criminosos não tinha limites: eles queriam mais e assim conseguiram.
Ativo desde 2014, em 2016, o grupo decidiu abandonar o malware ATM e concentrar todos os seus ataques em sistemas PoS, visando o núcleo da indústria de pagamentos. São criminosos com amplo conhecimento do mercado de pagamentos, software e protocolos de EFT. Eles rapidamente adotaram o modelo de malware como serviço e expandiram seu alcance no exterior, criando um conjunto de ferramentas que incluía backdoors, uploaders e ladrões de forma modular. Desde então, acompanhamos cada movimento do agente da ameaça, testemunhando os danos e as grandes perdas financeiras que trouxeram ao setor de pagamentos.
O malware Prilex PoS evoluiu de um simples raspador de memória para um malware muito avançado e complexo, lidando diretamente com o protocolo de hardware PIN pad em vez de usar APIs de nível superior, fazendo patches em tempo real no software de destino, conectando bibliotecas do sistema operacional, mexendo com respostas, comunicações e portas, e alternando de um ataque baseado em repetição para gerar criptogramas para suas transações GHOST, mesmo de cartões de crédito protegidos com tecnologia CHIP e PIN.
Tudo começou com caixas eletrônicos durante uma festa de carnaval
Durante o carnaval de 2016, um banco brasileiro percebeu que seus caixas eletrônicos haviam sido hackeados, com todo o dinheiro contido nessas máquinas roubado. De acordo com relatos de órgãos policiais, os criminosos por trás do ataque conseguiram infectar mais de 1.000 máquinas pertencentes a um banco no mesmo incidente, o que lhes permitiu clonar 28.000 cartões de crédito únicos em todo o Brasil.
Os invasores não tiveram acesso físico às máquinas, mas conseguiram acessar a rede do banco usando um dispositivo DIY contendo um roteador 4G e um Raspberry PI. Ao abrir um backdoor, eles conseguiram seqüestrar a conexão sem fio da instituição e atacar os caixas eletrônicos à vontade. Após obter o acesso inicial à rede, o invasor executaria um processo de reconhecimento de rede para encontrar o endereço IP de cada um dos caixas eletrônicos. Com essas informações em mãos, os invasores iniciariam uma fase de movimento lateral, usando credenciais padrão do Windows e, em seguida, instalando malware personalizado nos sistemas desejados. O backdoor permitiria que o invasor esvaziasse o soquete do caixa eletrônico iniciando a interface do malware e digitando um código fornecido pelo mentor, sendo o código específico para cada caixa eletrônico invadido.
Caixa eletrônico infectado com Prilex pronto para dispensar dinheiro
O malware utilizado no ataque chamava-se Prilex e foi desenvolvido desde a raiz com recurso a informações privilegiadas e conhecimentos avançados da rede ATM. Para controlar os caixas eletrônicos, a Prilex fez patch em software legítimo para fins de jackpot. Além de sua capacidade de realizar um jackpot, o malware também foi capaz de capturar informações de tarjas magnéticas em cartões de crédito e débito inseridos nos caixas eletrônicos infectados. Depois, essas informações valiosas podem ser usadas para clonar cartões e roubar mais fundos dos clientes do banco.
Evoluindo para malware PoS
O Prilex evoluiu de malware focado em caixas eletrônicos para malware modular de ponto de venda direcionado a sistemas de pagamento desenvolvidos por fornecedores brasileiros, o chamado software EFT/TEF . Como observado em 2018, há muitas semelhanças entre suas versões ATM e PoS. Seu primeiro malware PoS foi descoberto em outubro de 2016. As duas primeiras amostras tinham 2010/2011 como data de compilação, conforme mostrado no gráfico abaixo. No entanto, acredita-se que datas de compilação inválidas foram definidas devido a configurações incorretas de data e hora do sistema. Em versões posteriores, os timestamps correspondiam aos tempos em que as amostras foram descobertas. Também nota-se que na ramificação de 2022 que os desenvolvedores começaram a usar o Subversion como sistema de controle de versão.
Versões do malware Prilex PoS: 3 novas versões em 2022
Como vemos no gráfico, o Prilex era altamente ativo em 2020, mas desapareceu repentinamente em 2021, ressurgindo em 2022 com o lançamento de três novas variantes.
A versão PoS do Prilex é codificada em Visual Basic, mas o módulo ladrão, descrito no artigo da Securelist, está em p-code . Em poucas palavras, esta é uma etapa intermediária entre instruções de alto nível em um programa Visual Basic e o código nativo de baixo nível executado por uma CPU. Visual Basic converte instruções de p-code em código nativo em tempo de execução.
Uma ligação ao passado
Prilex não é o único tipo de malware PoS originado no Brasil. É possível observar um elo fraco com o antigo Trojan-Spy.Win32.SPSniffer , que o Securelist descreveu em 2010, pois ambas as famílias são capazes de interceptar sinais de PIN pads , mas usam abordagens diferentes para isso.
Os PIN pads são equipados com recursos de hardware e segurança para garantir que as chaves de segurança sejam apagadas se alguém tentar adulterar o dispositivo. Na verdade, o PIN é criptografado no dispositivo na entrada usando uma variedade de esquemas de criptografia e chaves simétricas. Na maioria das vezes, este é um codificador DES triplo, dificultando a quebra do PIN.
Porém, há um problema: esses dispositivos estão sempre conectados a um computador por meio de uma porta USB ou serial, que se comunica com o software EFT. Dispositivos PIN pad mais antigos e desatualizados usam esquemas de criptografia obsoletos e fracos, tornando mais fácil para malware instalar um sniffer de porta USB ou serial para capturar e descriptografar o tráfego entre o PIN pad e o sistema infectado. É assim que o SPSniffer obtém os dados do cartão de crédito. Às vezes, o tráfego nem é criptografado.
SPSniffer: sniffer de porta serial que permite a captura de tráfego não criptografado
A principal abordagem usada pelo Prilex para capturar dados de cartão de crédito é usar um patch nas bibliotecas do sistema PoS, permitindo que o malware colete dados transmitidos pelo software. O malware procurará a localização de um determinado conjunto de executáveis ​​e bibliotecas para aplicar o patch, substituindo assim o código original. Com o patch em vigor, o malware coleta os dados do TRACK2, como o número da conta e a data de validade, além de outras informações do titular do cartão necessárias para realizar transações fraudulentas.
Mexendo com o padrão EMV
O Brasil começou a migrar para o EMV em 1999 e hoje quase todos os cartões emitidos no país são habilitados para chip. Um pequeno aplicativo baseado em Java vive dentro do chip e pode ser facilmente manipulado para criar um cartão de “bilhete dourado” que será válido na maioria – se não em todos – sistemas de ponto de venda. Esse conhecimento permitiu que os criminosos atualizassem seu conjunto de ferramentas, permitindo que eles criassem seus próprios cartões com essa nova tecnologia e os mantendo “no negócio”.
As versões iniciais do Prilex eram capazes de realizar o “ataque de repetição”, onde, ao invés de quebrar o protocolo EMV, eles tiravam vantagem de implementações ruins. Como os operadores de pagamento não realizam algumas das validações exigidas pelo padrão EMV, os criminosos podem explorar essa vulnerabilidade dentro do processo em seu benefício.
Nesse tipo de ataque, os fraudadores enviam transações regulares de tarja magnética pela rede de cartões como compras EMV, pois estão no controle de um terminal de pagamento e têm a capacidade de manipular campos de dados para transações feitas por esse terminal. Mais tarde, eles passaram a capturar tráfego de transações reais de cartão com chip baseadas em EMV. Os ladrões podem inserir dados de cartões roubados no fluxo de transações, enquanto modificam a conta bancária do comerciante e do adquirente em tempo real.
Os cibercriminosos brasileiros lançaram com sucesso ataques de repetição desde pelo menos 2014. Como apontado por Brian Krebs, uma pequena instituição financeira da Nova Inglaterra enfrentou cerca de US$ 120.000 em cobranças fraudulentas de lojas brasileiras em menos de dois dias. O banco conseguiu bloquear US$ 80.000, mas o processador do banco, que aprova as transações recebidas quando os sistemas principais estão offline, deixou passar os outros US$ 40.000. Todas as transações fraudulentas foram cobranças de débito. Todos eles se depararam com a rede da MasterCard e pareciam ser transações de chip sem um PIN para os sistemas da MasterCard.
Teve ainda o ataque a um banco alemão em 2019, que registou prejuízos de 1,5 milhões de euros e utilizou a mesma técnica. A gangue Prilex reivindicou a responsabilidade. A julgar pelos campos de nome e pela funcionalidade da ferramenta, eles provavelmente usaram o software que estão vendendo no mercado negro.
Para automatizar ataques com cartões de crédito clonados, os criminosos Prilex usaram ferramentas como o Xiello, descoberto por nossa telemetria em 2020. Essa ferramenta permite que os cibercriminosos usem cartões de crédito em lote ao fazer compras fraudulentas. Ele envia os dados da compra para as adquirentes do cartão de crédito, que aprovam ou negam as transações.
Ferramenta Xiello usada pelo Prilex para automatizar transações
À medida que a indústria de pagamentos e os emissores de cartões de crédito corrigiam os erros de implementação do EMV, os ataques de repetição tornaram-se obsoletos e ineficazes, levando a gangue Prilex a inovar e adotar outras formas de fraude de cartão de crédito.
Malware como serviço
Em 2019, um site que alegava ser afiliado ao Prilex começou a oferecer o que dizia ser um pacote de malware criado pelo grupo. Temos pouca confiança nessas alegações: o site pode ser operado por imitadores tentando se passar pelo grupo e ganhar algum dinheiro usando a reputação que o Prilex conquistou ao longo dos anos.
Este site ainda estava em funcionamento no momento em que o Securelist preparou o seu artigo.
O preço pedido para o que é supostamente um kit Prilex PoS é de US $ 3.500.
O site diz que seus proprietários trabalharam com cibercriminosos russos no passado, outra afirmação que não podemos confirmar. Também vale a pena mencionar que o serviço Digital Footprint Intelligence da Kaspersky encontrou citações de um pacote de malware Prilex vendido por meio de bate-papos do Telegram, em um canal clandestino, com preço entre € 10.000 e US $ 13.000, porém não tem como confirmar que o que está sendo oferecido é o verdadeiro malware Prilex.
Ao mesmo tempo, o Prilex agora usando o Subversion é um sinal claro de que eles estão trabalhando com mais de um desenvolvedor.
Conclusões
O grupo Prilex demonstrou um alto nível de conhecimento sobre transações com cartões de crédito e débito e como funciona o software usado para processamento de pagamentos. Isso permite que os invasores continuem atualizando suas ferramentas para encontrar uma maneira de contornar as políticas de autorização, permitindo que eles executem seus ataques.
Ao longo de anos de atividade, o grupo mudou muito suas técnicas de ataque. No entanto, sempre abusou dos processos relacionados ao software PoS para interceptar e modificar as comunicações com o PIN pad. Considerando isso, os pesquisadores sugerem fortemente que os desenvolvedores de software PoS implementem técnicas de autoproteção em seus módulos, visando evitar que códigos maliciosos adulterem as transações gerenciadas por esses módulos. Aos adquirentes e emissores de cartões de crédito, os pesquisadores recomendam evitar a “segurança por obscuridade”: não subestime o fraudador. Todas as validações EMV devem ser implementadas!
O sucesso do Prilex é o maior motivador para que novas famílias surjam como malware de evolução rápida e mais complexo, com grande impacto na cadeia de pagamento.
Fonte: Securelist 
Veja também:
Hacker que violou a Optus pede desculpas e retira pedido de resgate
Domain Shadowing – Técnica avançada de comprometimento de sites na internet
Muitas empresas não confiam na segurança em ambientes de nuvem híbrida
Diferença entre análise de vulnerabilidades e gerenciamento de vulnerabilidades
TCE-RS fica fora do ar e suspende sessões por tempo indeterminado
Fortinet lança novo serviço de treinamento e conscientização sobre segurança cibernética
A importância da segurança da informação para o desenvolvimento dos negócios
5 dicas para CISOs sobre o futuro do TPCRM
Quais desafios de segurança cibernética os programadores enfrentam?
Uber: Lapsus$ teve como alvo Contratado Externo com MFA Bombing Attack
Nova abordagem para Gerenciamento de Risco de Terceiros
Gerenciamento de riscos de terceiros é o elo perdido?
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
Related
cyber attack
cybersecurity
hacker
information protection
information security
informationprotection
informationsecurity
malware
mindsec
prilex
segurança da informação
segurancadainformacao
virus
www.mindsec.com.br
Sobre mindsecblog 1871 Artigos
Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.
Website Facebook Twitter YouTube Linkedin
Anterior
Microsoft Exchange comprometidos por aplicativos OAuth
Próximo
Atacantes precisam de menos de 10 horas para encontrar fraquezas
Artigos Relacionados
Artigos
O que é a Web Invisível?
19/06/2019 mindsecblog 5
O que é a Web Invisível? A Web Invisível é a parte da World Wide Web, que não é indexável por mecanismos de pesquisa e, portanto, é “invisível” ao usuário comum. Você sabia que existe […]
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
Notícias
Forrester prevê fuga em massa da segurança cibernética
05/11/2021 mindsecblog 0
Forrester prevê fuga em massa da segurança cibernética. Forrester alertou sobre um êxodo significativo de profissionais de segurança cibernética do setor devido ao estresse, esgotamento e oportunidades limitadas de progressão na carreira. Em seu relatório de […]
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
LGPD & PRIVACY
Office Depot Europe expôs dados de clientes online
13/04/2021 mindsecblog 4
Office Depot Europe expôs dados de clientes online. Banco de dados não protegido por senha que continha pouco menos de um milhão de registros. Em 3 de março de 2021, o pesquisador Jeremiah Fowler, da […]
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
1 Trackback / Pingback
Prilex é um agente de ameaças brasileiro que evoluiu de ATM para POS – Neotel Segurança Digital
Deixe sua opinião! Cancelar resposta
Pesquisar por:
RSS FEED
Receba novos posts por email:
Coloque nosso domínio na Whitelist @minutodaseguranca.blog.br
Assinando este RSS Feed você aceita os termos de privacidade do Blog
Acesse a página de Privacidade e veja nossos termos de uso.
Siga-nos Facebook
Arquivos
Arquivos Selecionar o mês dezembro 2022 novembro 2022 outubro 2022 setembro 2022 agosto 2022 julho 2022 junho 2022 maio 2022 abril 2022 março 2022 fevereiro 2022 janeiro 2022 dezembro 2021 novembro 2021 outubro 2021 setembro 2021 agosto 2021 julho 2021 junho 2021 maio 2021 abril 2021 março 2021 fevereiro 2021 janeiro 2021 dezembro 2020 novembro 2020 outubro 2020 setembro 2020 agosto 2020 julho 2020 junho 2020 maio 2020 abril 2020 março 2020 fevereiro 2020 janeiro 2020 dezembro 2019 novembro 2019 outubro 2019 setembro 2019 agosto 2019 julho 2019 junho 2019 maio 2019 abril 2019 março 2019 fevereiro 2019 janeiro 2019 dezembro 2018 novembro 2018 outubro 2018 setembro 2018 agosto 2018 julho 2018 junho 2018 maio 2018 abril 2018 março 2018 fevereiro 2018 janeiro 2018 dezembro 2017 novembro 2017 outubro 2017 setembro 2017 agosto 2017 julho 2017 junho 2017 maio 2017
Webinars
Como garantir a recuperação das operações em um ataque virtual
27/05/2022 0
Webinar Warning: Avoid GDPR Sanctions on Your Business
20/05/2022 0
Webinar “Como construir um plano de governança e segurança adequado a LGPD”
06/07/2021 4
Assista a gravação do Webinar: Business, Security e Legal no bloco da LGPD
24/02/2021 2
Não viu? Assista o Cyber Talk “61 minutos da segurança: os desafios de SI de hoje e amanhã.”
22/10/2020 1
Artigos & Estudos
Medidas de proteção de dados pessoais
01/12/2022 0
Como identificar aplicativos maliciosos nas lojas de apps?
01/12/2022 0
Por que o Brasil está entre os países mais invadidos no mundo?
25/11/2022 0
EDR faz monitoramento dos dispositivos para identificar ameaças cibernéticas
25/11/2022 0
Como a tecnologia pode impactar a segurança dos estádios
24/11/2022 0
A Black Friday e ameaça às APIs das empresas
24/11/2022 0
Relatório Global de Ameaças da Elastic aponta que 33% dos ataques cibernéticos na nuvem utilizam acesso a credenciais
22/11/2022 0
Black Friday: 11 dicas para evitar golpes na internet
22/11/2022 0
Realização
Direitos Reservados
“Minuto da Segurança é marca registrada e propriedade da MindSec Segurança e Tecnologia da Informação Ltda. Por isto nos reservamos ao direito de apontar alguns links de mídias sociais e outros para as páginas da MindSec já existentes.”
“O uso da Logo Marca e o nome Minuto da Segurança, bem como Logo Marca e Nome MindSec são registrados e reservados nos termos da lei, não podendo ser copiado ou reproduzido.”
Categorias
Artigos
Download
HotSpot
Leadership
LGPD & PRIVACY
Notícias
Produtos
Próximos Webinars
SUSPENSO
Webinar
Comentários Recentes
Anderson em Lista completa de ferramentas de teste de penetração e hacking
Lidiane Miranda Dos Santos em Senac libera 90 cursos de formação online GRATUITOS incluindo Cisco, Microsoft e Red Hat
Luan Barros em A colisão de mercado de SIEM, EDR, MDR, XDR e MSSP
Wolverine. em Pesquisador ucraniano vaza dados da gangue Conti Ransomware
wernz em Crime cibernético – seus funcionários são uma ameaça à segurança operacional?
“Os comentários exibidos acima foram publicados por terceiros e não refletem de qualquer modo a opinião do Blog Minuto da Segurança ou de seus patrocinadores, os quais não serão responsáveis de qualquer forma pelas informações contidas nos mesmos”