La anatomía del malware Gameover

La pieza de malware "Gameover", es una versión "privada" de ZeuS relativamente nueva. Soporte para las herramientas distribuidas de Comando y Control (C2), integradas en la botnet ZeuS, fueron implementadas después de la petición de uno de los clientes "privados" del autor de ZeuS.

C2 distribuido, es una característica que fue originalmente considerada por el autor del malware en el programa beta ZeuS 1.4/2.0, pero que fue desechada en la versión final 2.0.x, debido a la falta de demanda entre los clientes de ZeuS, en contraste con el tiempo significativo de programación y pruebas. Fue puesto de nuevo como característica en la reciente distribución del programa beta ZeuS 2.2/3.0.

La versión "Gameover" de ZeuS también soporta el uso de inyecciones web complejas que permiten al atacante llevar acabo ataques del tipo "Man-in-the-Browser" (MITB) para traspasar mecanismos de autenticación multi-factor. El autor de ZeuS también ha incluido un componente para ataques de Denegación de Servicio Distribuidos (DDoS por sus siglas en inglés).

Gameover ha sido utilizado de la siguiente manera: Primero, instituciones financieras son el blanco de ataques DDoS en sus sitios de banca en línea. Estos ataques fueron programados para coincidir poco después de que algunas cuentas pertenecientes a esas instituciones financieras fueran víctimas de fraude.

Estos ataques DDoS proveen el doble efecto de distraer; por un lado, a la institución financiera, y por otro al cliente de iniciar sesión en su cuenta y notar la actividad fraudulenta.

Las cuentas financieras afectadas comúnmente son cuentas de negocios que utilizan el servicio Automated Clearing House (ACH) y servicios de pago por transferencia bancaria. Como fue reportado, en algunas instancias, los fondos robados fueron transferencias bancarias a joyerías, donde el criminal se arregló con alguien para recojer mercancía con un valor igual al monto de los fondos transferidos.

Traducido de: Help Net Security
Fuente: UNAM-SSI