Trend Micro analisa as últimas tendências dos trojans bancários
São Paulo, março de 2011 - Compras e pagamentos online podem ser muito práticos para usuários que contam cada vez mais com o uso da internet em seu dia a dia. Porém a Trend Micro, multinacional especializada em segurança digital, recentemente observou novas formas de manipulação dessas tecnologias. Apesar da conveniência que esse serviço propicia para provedores e consumidores, a dependência do e-commerce e de bancos online é diretamente proporcional ao interesse dos cibercriminosos que aproveitam a tendência em próprio benefício.
Um novo trojan, detectado pela empresa como TSPY_ODDJOB.A, é capaz de sequestrar as sessões bancárias de clientes online. Isso significa que essa ameaça consegue manter a sessão mesmo após os clientes terem realizado o logoff. Ainda que os identificadores de sessões forneçam aos usuários um acesso temporário, projetado para ter vida curta e expirar após tempo predeterminado de inatividade.
A nova técnica é muito atraente para criminosos que usam as ameaças ZeuS e SpyEye, especialmente por ser relativamente simples de incorporar. Portanto, é provável que o sequestro de sessões se torne uma funcionalidade padrão dos cavalos de troia bancários nos próximos meses.
Recentes relatórios discutiram como os cibercriminosos estão expandindo seus alvos para sistemas WinCE, Blackberry e Symbian. Uma ameça detectada como SYMBOS_ZBOT.B monitora o sistema de mensagens SMS do aparelho celular, redirecionando-as a um usuário remoto. Seu objetivo é capturar o código de autenticação enviado pelo banco para o telefone do usuário, fornecendo ao atacante a informação necessária para invadir sua conta bancária. A atividade é um claro sinal para que os usuários de smartphones levantem a guarda.
Sistemas do tipo Automated Clearing House (ACH) são geralmente utilizados por organizações, inclusive governos, no processamento simultâneo de múltiplas transações de crédito e débito. Contudo, também são usados por cibercriminosos para adicionar contas à lista de pagamento de uma empresa e, em seguida, transferir os fundos roubados da companhia.
Há um tipo de ataque por spam direcionado a organizações que utilizam sistemas ACH. Nele, as mensagens chegam como se fossem uma notificação de uma transação recusada. Ao clicar no link indicado, o usuário é direcionado a outra mensagem, que o orienta a fazer o download de uma falsa atualização Java. Este procedimento busca vulnerabilidades específicas e determina qual técnica de infecção utilizar.
Se nenhuma vulnerabilidade for identificada, é utilizado um applet Java malicioso para realizar o download de uma variante do malware LICAT, detectado como PE_LICAT.SM-O. Ele infecta executáveis no sistema afetado e gera domínios utilizados para conexão e download de mais arquivos maliciosos. Porém, para este ataque específico, os domínios aos quais o malware se conecta já estão inacessíveis.
Variantes do LICAT se assemelham em funcionalidades aos cavalos de Troia ZeuS, mas contam com a capacidade de atualizar arquivos. Descoberto inicialmente no ano passado, o LICAT é notável não somente por suas rotinas de infecção de arquivos, mas também por seu algoritmo de geração de domínios, similar ao utilizado pelo WORM_DOWNAD/Conficker.
Cavalos de troia bancários são certamente uma forma de ameaça que está crescendo e se tornando mais sofisticada. Conforme os consumidores e as tecnologias avançam em direção a transações financeiras em plataformas móveis, ocorrências desse tipo de ameaça devem aumentar. Seja uma nova técnica, ou uma técnica antiga utilizada para um novo ataque, o fato é que constituem uma grande ameaça para os internautas.