S21sec identifica novo malware Ploutus-D que ataca caixas ATM - Leak Business
27 Março, 2017 | 52895
A S21sec detetou o reaparecimento do Ploutus, uma das famílias de malware ATM mais sofisticadas, que se apresenta com uma nova variante designada Ploutus-D, uma técnica utilizada para roubar avultadas quantias de dinheiro de uma caixa multibanco sem necessidade de utilizar um cartão de crédito ou débito.
Uma vez alcançado o acesso físico ao núcleo da CPU do ATM, os cibercriminosos aproveitam o acesso às portas USB ou à unidade de CD-ROM para infetar o ATM com o malware, realizando a operação através da instalação de um teclado padrão. O Ploutus-D contém um executável (AgilisConfigurationUtility.exe) e um Launcher (Diebold.exe), podendo o primeiro ser executado como uma aplicação autónoma ou como um serviço instalado, esperando por uma combinação de teclas para ativar e assumir o controlo do ATM a partir do teclado. De seguida, exibe uma GUI personalizada pedindo um código de autorização, para garantir o controlo da mula. Se a autorização for concedida, o PLOUTUS-D mostra os detalhes da quantidade de dinheiro disponível e utiliza os componentes XFS da Kalignite para interagir com o distribuidor ATM, permitindo que sejam emitidos vários comandos de dispensa para esvaziar o dinheiro. Finalmente, após a conclusão do "cash-out", o PLOUTUS-D fornece um mecanismo de limpeza para remover quaisquer vestígios do ataque.
No caso do PLOUTUS-D, o ataque pode ser interrompido na fase de infeção através do bloqueio de dispositivos externos USB ou do teclado (HW Protection) e do encriptar do disco rígido (Full Disk Encryption) para evitar a manipulação fora do sistema operacional. Mesmo nos casos em que o ATM é infetado com PLOUTUS-D, o ataque pode ainda ser bloqueado usando o aplicativo Whitelisting, uma camada de proteção que não permitirá executar o Launcher (Diebold.exe) nem o executável de malware (AgilisConfigurationUtility.exe).